黑客盯著區(qū)塊鏈10年損失超200億美元

隆雪芬

2021年的區(qū)塊鏈?zhǔn)澜?，光明面欣欣向榮，黑暗面也在逐步發(fā)展。據(jù)SlowMist Hacked不完全統(tǒng)計(jì)，2021年區(qū)塊鏈?zhǔn)澜珙l發(fā)安全事件，在數(shù)量、危險(xiǎn)性、涉案金額以及影響規(guī)模等方面遠(yuǎn)超往年，其中還出現(xiàn)了罕見(jiàn)的白帽黑客事件，給人們敲響了安全警鐘。

所謂白帽黑客，特指以黑客慣用破壞攻擊之法，行維護(hù)網(wǎng)絡(luò)安全之事的一群人，相對(duì)于黑帽黑客而存在。不過(guò)，2021年最出名的白帽黑客卻未在攻擊行為實(shí)施之前獲得許可，且涉案金額高達(dá)6億美元，只是最后全額奉還被盜資產(chǎn)，而Poly Network也放棄追究其法律責(zé)任罷了。

技術(shù)不懂是非善惡，區(qū)塊鏈黑客事件從未斷絕。交易所、錢包、公鏈、各生態(tài)DApp、DeFi項(xiàng)目…究竟哪一個(gè)是黑客們關(guān)注的核心？

盜走6億美元資產(chǎn)又送回，黑客說(shuō)“只想提個(gè)醒”

2021年8月，一位匿名黑客襲擊異構(gòu)跨鏈協(xié)議（Poly Network），將以太坊、幣安智能鏈（BSC）、以太坊側(cè)鏈（Polygon）鏈上2.5億美元、2.7億美元和8 500萬(wàn)美元的加密資產(chǎn)悄悄轉(zhuǎn)移，總金額高達(dá)6.1億美元，全程耗時(shí)34 mi9n。

不過(guò)，隨著各方展開(kāi)圍堵，黑客在其后12天內(nèi)將盜走的大部分資產(chǎn)退回，聲稱自己對(duì)金錢不感興趣，“白帽黑客”的標(biāo)簽就此誕生。

6.1億美元，這不僅是DeFi史上涉案金額最大的黑客事件，更是整個(gè)加密貨幣史上涉案金額最大的黑客事件，規(guī)模超過(guò)著名Mt.Gox事件（744 408枚BTC，當(dāng)時(shí)約4億美元）以及Coincheck大案（5.23億枚XEM，當(dāng)時(shí)約5.34億美元）。

面對(duì)如此大規(guī)模的安全事件，“當(dāng)事人”不敢懈怠，Poly Network當(dāng)天晚上8點(diǎn)38分發(fā)文，對(duì)外界公布其受到的攻擊，貼出該黑客在不同鏈上的具體地址，呼吁礦工及交易所伸手援助，阻止黑客地址所發(fā)起的交易。

幣安CEO趙長(zhǎng)鵬、OKex CEO Jay等先后聲援，穩(wěn)定幣USDT發(fā)行方Tether首席技術(shù)官Paolo Ardoino也聲明Tether已凍結(jié)該黑客地址3 300萬(wàn)USDT。

盡管圍追堵截，可黑客仍舊以各種手段快速混幣（即一個(gè)交易中包括大量輸入和輸出，輸入與輸出之間的聯(lián)系被事實(shí)上割裂，不易追蹤），當(dāng)日就通過(guò)Curve將9 706萬(wàn)美元USDC兌換為DAI，又在BSC上利用Curve分叉項(xiàng)目Ellipsis Finance混幣近1.2億美元。

據(jù)局面新聞報(bào)道，事發(fā)當(dāng)日，Poly運(yùn)營(yíng)方團(tuán)隊(duì)通宵達(dá)旦，除了因?yàn)閿?shù)額巨大的資產(chǎn)被盜事件背負(fù)的壓力外，加密社區(qū)中層出不窮的猜想也讓其如芒刺在背，安全研究員Mudit Gupta、Primitive Ventures創(chuàng)始合伙人Dovey Wan等先后發(fā)文暗示此事“內(nèi)部攻擊”的可能，更有人猜測(cè)為Poly“自導(dǎo)自演”。

聲勢(shì)浩大的圍剿行動(dòng)激發(fā)了圍觀者的吃瓜心理，事發(fā)當(dāng)日，有“好事者”向黑客地址發(fā)送交易，留言提醒其USDT已被列入黑名單，黑客對(duì)此回禮13.5ETH（約42 495.84美元）。

“致富之路”就此開(kāi)啟，大量“吃瓜群眾”蜂擁而至，有的談項(xiàng)目、要投資，有的談夢(mèng)想、要學(xué)費(fèi)，有人讓黑客“拉盤”自己持有的幣，更有甚者直接拜師、認(rèn)大哥。

可就在圍觀者看熱鬧的時(shí)候，事件卻發(fā)生了反轉(zhuǎn)。事發(fā)次日，攻擊Poly Network的黑客主動(dòng)現(xiàn)身Etherscan，通過(guò)鏈上交易備注表示其愿意歸還被盜資產(chǎn)，要Poly項(xiàng)目方為其提供一個(gè)多簽錢包。

“為什么要退款？”

“我對(duì)金錢不是很感興趣，”黑客如此回復(fù)道：“獲取這么多財(cái)富已經(jīng)是一個(gè)傳奇，而拯救世界更是永恒的傳奇?！?/p>

2021年8月11日，黑客歸還了價(jià)值470萬(wàn)美元的資產(chǎn)，其中包括100萬(wàn)美元的UCDC、價(jià)值110萬(wàn)美元的BTCB，以及價(jià)值260萬(wàn)美元的其他資產(chǎn)。同日稍晚，黑客再次在幣安智能鏈上向Poly Network團(tuán)隊(duì)留下的收款地址歸還近1.2億BUSD、2.66萬(wàn)ETH和1 000 BTCB，總價(jià)值約2.5億美元。

在接下來(lái)的12天里，黑客逐步歸還了BSC、Ploygon、以太坊上的所有被盜加密資產(chǎn)，此事的輿論風(fēng)向也從一開(kāi)始對(duì)被盜事件的震驚、批判，轉(zhuǎn)變?yōu)閷?duì)區(qū)塊鏈網(wǎng)絡(luò)安全的關(guān)注。

2021年8月13日，F(xiàn)2Pool聯(lián)合創(chuàng)始人、Cobo聯(lián)合創(chuàng)始人兼CEO神魚發(fā)布博文，稱Poly Network的攻擊者為網(wǎng)絡(luò)安全的護(hù)衛(wèi)者———白帽黑客，還表示將在Cryptovoxels里建造關(guān)于紀(jì)念Poly Network事件的紀(jì)念碑，致謝所有參與者。而后，Poly Network也宣布進(jìn)行主網(wǎng)升級(jí)，并邀請(qǐng)此前攻擊者為Poly Network首席安全顧問(wèn)。

哪里有錢，哪里就有黑客

回頭來(lái)看，白帽黑客事件發(fā)生在跨鏈協(xié)議被攻破的基礎(chǔ)上，后續(xù)漏洞還涉及以太坊公鏈、Polygon生態(tài)、穩(wěn)定幣USDT等，這使得黑客能在幣安、OKEx、Tether等頭部企業(yè)封鎖圍剿之下還能快速混幣，轉(zhuǎn)移被盜資產(chǎn)，這其中展現(xiàn)的安全隱患，值得引起加密世界的警惕。

據(jù)SlowMist Hacked數(shù)據(jù)不完全統(tǒng)計(jì)，整個(gè)2021年區(qū)塊鏈生態(tài)被公開(kāi)的區(qū)塊鏈安全事件共236起，損失超98.86億美元。其中各生態(tài)DApp、DeFi等安全事件127起，占絕大多數(shù)，此外還有交易所安全事件14起，公鏈安全事件8起，錢包安全事件3起，其他類型安全事件84起（項(xiàng)目方跑路等）。

從上述數(shù)據(jù)中可以看出，各生態(tài)的DApp、DeFi項(xiàng)目、交易所部分是2021年區(qū)塊鏈?zhǔn)澜绾诳桶踩录l(fā)生的重災(zāi)區(qū)。一位資深業(yè)內(nèi)安全人士告訴《鏈新》，加密貨幣交易所中聚集著大量資金，人員復(fù)雜，防御脆弱，用戶缺乏足夠的安全意識(shí)，易產(chǎn)生安全漏洞，不論是從薄弱點(diǎn)還是獲利的角度上來(lái)說(shuō)，都是黑客們不容忽視的“香餑餑”，而通過(guò)攻擊交易所冷/熱錢包形式進(jìn)行盜幣活動(dòng)，是2021年的顯著特質(zhì)。

2021年2月，新西蘭交易所Cryptopia清算人Grant Thornton控制的冷錢包（自2019年1月一直處于休眠狀態(tài)）被盜事件中，黑客就通過(guò)訪問(wèn)錢包盜走約196萬(wàn)美元的Xtake。8月19日，日本加密交易平臺(tái)Liquid同樣是熱錢包被盜，共計(jì)損失約9 135萬(wàn)美元。

而除了交易所之外，匯聚資金的錢包也對(duì)黑客們形成吸引力，這導(dǎo)致2021年錢包泄漏安全事件層出不窮。據(jù)AML11月報(bào)告，假錢包App已致上萬(wàn)人被盜，損失高達(dá)13億美元。

在交易所之外，值得一提的還有公鏈攻擊。從2021年8月開(kāi)始，先有BSV遭51%攻擊，近100個(gè)區(qū)塊發(fā)生重組，再有ETC主網(wǎng)因以太坊客戶端Geth漏洞遭遇分叉，而后Solana主網(wǎng)Beta版也遭遇拒絕服務(wù)攻擊，網(wǎng)絡(luò)離線17個(gè)小時(shí)。

可不管是公鏈、錢包、還是交易所，他們?cè)谏媸陆痤~、攻擊次數(shù)、影響范圍等方面都比不過(guò)DeFi、DApp、NFT和跨鏈部分，而這一部分也是發(fā)生黑客攻擊事件最頻繁的領(lǐng)域。

自DeFi誕生以來(lái)，就伴隨著無(wú)數(shù)風(fēng)險(xiǎn)。近年來(lái)，許多DeFi項(xiàng)目?jī)r(jià)值一直在爆炸式的翻倍增長(zhǎng)，被黑事件也愈演愈烈。閃電貸攻擊、合約漏洞、兼容性或架構(gòu)問(wèn)題、私鑰泄露或前端攻擊、內(nèi)部作案……DeFi中種種套路層出不窮，令人瞠目結(jié)舌。

2021年，ETH生態(tài)SushiSwap兩次遭遇攻擊，SIL.Finance合約出現(xiàn)高危漏洞。BSC生態(tài)中，Cream Finance三遭閃電貸攻擊，累計(jì)損失超過(guò)1.87億美元。EOS生態(tài)flash.sx閃電貸智能合約遭受到“re-entry”攻擊。Polygon生態(tài)中，收益耕作協(xié)議PolyYeld Finance項(xiàng)目合約被利用。此外，HECO生態(tài)中也發(fā)生DDEX代碼后門事件等。

安全事件頻發(fā)于“DeFi、DApp、NFT和跨鏈”部分，此現(xiàn)象不僅發(fā)生于2021年，據(jù)《鏈新》觀察，該規(guī)律從2018年安全事件數(shù)量飆升之后就有所顯現(xiàn)，甚至延續(xù)到2022年。

10年損失239億美元

2008-2022年，黑客事件如蛆附骨跟隨著區(qū)塊鏈的發(fā)展而日漸壯大。據(jù)SlowMist Hacked數(shù)據(jù)顯示，自2012年至今，全球區(qū)塊鏈生態(tài)中僅被公開(kāi)的區(qū)塊鏈安全事件就有610起，損失總金額約為238.78億美元。按年限區(qū)分，2018年后呈現(xiàn)出明顯的階段性變化，數(shù)量和涉案金額都較之前翻倍增長(zhǎng)。

區(qū)塊鏈安全公司PeckShield和BCSEC調(diào)查數(shù)據(jù)顯示，2018全年，區(qū)塊鏈安全事件數(shù)量高達(dá)138起，造成的經(jīng)濟(jì)損失為22.38億美元，其中以太坊公鏈、EOS公鏈?zhǔn)桩?dāng)其沖，其后依次是交易所、錢包。

其中，以太坊公鏈?zhǔn)录?4起，如BEC美鏈遭黑客攻擊，一日蒸發(fā)9億美元。EOS公鏈出現(xiàn)超49起安全事故，大多源于DApp生態(tài)爆發(fā)期間（8-11月）引起的隨機(jī)數(shù)、假通知、交易回滾等攻擊事件，直接經(jīng)濟(jì)損失高達(dá)74.7萬(wàn)個(gè)EOS。

相較之下，交易所攻擊雖然有10余起，但也只有2018年1月26日日本Coincheck交易所被盜和3月7日幣安交易所被黑客釣魚2個(gè)案子影響較大。BTC事故僅有3起，類似9月的“BTC超發(fā)漏洞”，也在造成危害前得以修復(fù)。

在此基礎(chǔ)上，《鏈新》發(fā)現(xiàn)，在以公鏈、交易所、錢包、ETH生態(tài)、BSC生態(tài)、波場(chǎng)生態(tài)、EOS生態(tài)、Ploygon生態(tài)、HECO生態(tài)等為代表九大安全事故場(chǎng)所中，EOS生態(tài)、ETH生態(tài)尤其被黑客關(guān)注，交易所受到的攻擊數(shù)也相對(duì)較多，這三大領(lǐng)域共發(fā)生安全事件超356起，涉事金額超125億美元，總體占比超過(guò)52.35 %。

同樣的規(guī)律也體現(xiàn)在Atlas VPN團(tuán)隊(duì)發(fā)布的“2020年區(qū)塊鏈黑客”系列報(bào)告中。Atlas VPN團(tuán)隊(duì)指出，2020年有47次針對(duì)ETH DApps的成功攻擊，以及28起加密貨幣交易所違規(guī)行為。

黑客攻擊聚焦于DeFi、DApp各生態(tài)、交易所的現(xiàn)象一如既往，直到2022年還在呈現(xiàn)。

截至2022年1月18日，據(jù)SlowMist Hacked統(tǒng)計(jì)，全球區(qū)塊鏈生態(tài)公開(kāi)的2022年區(qū)塊鏈安全事件共16起，其中除了6起跑路事件外，都是DeFi、DApp各生態(tài)的安全事件和交易所的安全事件。

在這樣的情況下，諸多權(quán)威機(jī)構(gòu)紛紛發(fā)布報(bào)告，提醒加密世界注意防范黑客攻擊，加強(qiáng)區(qū)塊鏈安全建設(shè)。此前McAfee就曾出具《區(qū)塊鏈威脅報(bào)告》，聲明“區(qū)塊鏈?zhǔn)侨ブ行幕诰€交易的革命性基礎(chǔ)，但有安全風(fēng)險(xiǎn)”。2021年3月，中國(guó)信通院也發(fā)布《區(qū)塊鏈安全能力測(cè)評(píng)與分析報(bào)告》，指出區(qū)塊鏈現(xiàn)存“十大安全隱患”，再三提醒外界樹(shù)立防范意識(shí)。