DeFi 跨链协议连续被攻击 该如何防范？_以太坊

DeFi 跨链协议连续被攻击 该如何防范？

全文文章标题：《半个月左右连射 5 起攻击，安全性组织 ：跨链协议需清查与别的 DeFi 产品组合策略的领域模型漏洞丨巴比特观查》

除开防止出现跨合同的逻辑性兼容模式漏洞，安全性组织 还提议在安全事故产生时立即清查堵漏安全性攻击，防止导致大量的损失。

近日，2个跨链桥项目连续遭受网络黑客，累计损失约 1600 万，引起了领域振动。

在其中 ChainSwap 攻击事情造成超出 20 个项目代币总相继被网络黑客「惠顾」，蔓延到范畴之广，环顾全部 DeFi 行业实在是少见。

在此之前，跨链攻击事情屈指可数。但在短短的十几天内，已发生 5 起安全事故，损失超出 1700 万美金。跨链攻击显著增加，这是不是代表着网络黑客已经看准跨链协议绿色生态？

7 月 11 日零晨，跨链财产桥项目 ChainSwap （ASAP）因其智能合约的一个重要漏洞遭受网络黑客攻击，损失约 800 万美金。

ChainSwap 是一个用以智能化链的跨链财产桥和应用软件管理中心，容许项目在以太币（ETH）、火币网智能化链（BSC）和火币网生态圈（HECO）中间完成无缝拼接中继。

因而，很多与其说协作在以太币和火币网智能化链中间联接代币总的项目都遭受了蔓延到。据统计，超出 20 个项目相继被网络黑客「惠顾」，包含 OptionRoom、RAI Finance、Umbrella Network、DAOventures、DAFI Protocol、FM Gallery、Fei protocol、Fair Game、Antimatter、Unido、Unifarm、Wilder Worlds、Nord Finance、Razor 、Dafi Finance、Oropocket、Rocks、 Peri Finance 等。

依据一部分项目已公布的损失数据信息，链上鼓励协议 DAFI Protocol 被售卖了 20 万美金的 DAFI，波卡绿色生态推测机和预测分析协议 OptionRoom 被网络黑客盗取 1230 万枚 ROOM 代币总，DeFi 推测机 Umbrella 损失了超 300 万枚 UMB 代币总，及其 DeFi 投资管理服务平台 DAOventures 被窃取 30 万枚 DVG 代币总等。

严格意义上来说，本次攻击的资产损失放到全部 DeFi 安全事故中并算不上多，但其蔓延到项目的范畴之广，却实在是少见。

那麼，ChainSwap 究竟存有哪些漏洞，让网络黑客趁虚而入？

「ChainSwap 在代币总跨链配额制编码中存有漏洞。本来跨链桥配额制由签字连接点全自动提升，致力于不用人工干预的状况下完成区块链技术。殊不知，因为编码中存有一个逻辑性缺点，即跨链财产只必须一个签字，并非多签，促使未被纳入授权管理的详细地址可全自动提升信用额度。」PeckShield「派盾」告知巴比特。

简单点来说，Chainswap 被攻击是由于派发的签字总数和获取时的必须的签字总数不一致，客户在申请办理跨链实际操作时获得的签字总数为好几个，而获取时只必须一个签字便可根据认证。

成都市链安强调，Chainswap 攻击事情中，攻击者最先在一条链上申请办理跨链实际操作，随后在得到好几个签字后，数次运用单独签字启用另一条链上的 receive 涵数开展获取，进而得到几倍的代币总。

「事实上，这类攻击技巧非常简单，攻击者仅仅简易地开展跨链申请办理和获取实际操作。」成都市链安告知巴比特。

而 Chainswap 上 20 好几个项目都被攻击，恰好是由于他们都应用了 Chainswap 存有漏洞的 factory 合同的配备。

事情产生以后，ChainSwap 表明，早已锁定 BSC 投射代币总详细地址以过虑掉网络黑客详细地址，将对攻击前的 ASAP 持有人和 LPs 空投物资 1:1 的新 ASAP 代币总，并将对受影响的代币总执行赔偿方案。

就在大家认为这事临时告一段落时，事件骤起，另一起攻击事情的产生将跨链绿色生态引向了舆论旋涡。

7 月 12 日零晨 1 点，区块链技术跨链买卖协议 Anyswap 官方网发推宣称，Anyswap 多链接由 v3 版本号遭受攻击。

据统计，Anyswap 是一个根据 FusionDCRM 技术性的区块链技术的跨链互换协议，也是现阶段 DeFi 客户最常见的跨链专用工具之一。

有别于 ChainSwap，Anyswap 仅仅单独项目遭受攻击，可是在资产损失层面，则是不遑多让。据悉，V3 跨链资金池受影响，损失约 240 万 USDC 和 551 万 MIM，累计约 800 万美金。

成都市链安表明，Anyswap 被攻击的最关键缘故是签字应用了反复的 R 值。假如该同一帐户签字的买卖有着同样的 rsv 签字的 R 值，则网络黑客能够反方向计算出该帐户的公钥。

在攻击全过程中，攻击者恰好是运用了这一点，根据同一帐户签字的么加一笔有着同样的 rsv 签字的 R 值的买卖，反方向计算出该帐户的公钥，从而窃取该帐户的资产。因为该帐户在 BSC、ETH 和 FTM 上能够重复使用，故该帐户好几条链上财产失窃。

「实际上，这类攻击技巧必须一定的方式方法才可以进行，对比 Chainswap 攻击事情更加高級。」成都市链安说。

连续多起跨链行业攻击事情的产生，也许并不是不经意。

由于在此之前，产生在跨链协议行业的安全事故并不常见。

2021 年的 5-6 月，在跨链协议上一共发生了 2 起安全事故。5 月 16 日，跨链智能化盈利与流通性汇聚器 bEarn Fi 遭受网络黑客攻击，损失近 1100 万美金。6 月 29 日，区块链技术跨链买卖协议 THORChain 发推称发觉一个对于 THORChain 的故意攻击，该次攻击导致的资产损失为 14 万美金。

The Block 科学研究投资分析师 Igor Igamberdiev 曾表明，DeFi 协议中间的互用越来越愈来愈繁杂，因而开拓了新的攻击媒体，而且未来会越来越更为经常。

而到 7 月，与跨链有关的攻击事情总数忽然升高。7 月 2 日，跨链区块链技术交易中心 DDEX 上的 XDX Swap 遭攻击，攻击者盈利 85.17 ETH （约 17.85 万美金），并已将盈利所有跨链到以太币上。

同日，ChainSwap 也发推称其合同遭受攻击，它是 ChainSwap 于 7 月初次遭受攻击，据了解，攻击者也是运用其编码中的另一个漏洞，使该服务平台遭到了 80 万美金的损失。

从 6 月末到现在，短短的十几天的時间，产生在跨链行业的安全事故现有 5 起，这一数据表明对于跨链服务平台或项目的攻击已经显著增加，免不了令人猜测是不是网络黑客看上了跨链协议绿色生态。

「一切新发生的技术性都是会存有一定的风险性，发生安全事故也是大势所趋。」成都市链安表明。

该安全性企业觉得，最近跨链协议攻击事情高发的缘故有好几个。一方面是跨链绿色生态现阶段还并不是尤其完善，有很多层面必须改善。另一方面，伴随着最近跨链有关项目总计总资产不断发展，必定会招来网络黑客的眼光。

对于此事，PeckShield「派盾」也拥有相近的见解。

如同大家孰知，现阶段目前市面上不断涌现了好几条公链，且他们的资金额早已颇具规模，但不一样的链间好似荒岛，不一样链上的财产没法随意互换。此外，许多新起公链仍缺少基础设施建设。因而，公链必须将其他链上的财产根据跨链的方法引进本身的公链。

「在当今常见的跨链方法中，除开去中心化组织 如交易中心钱夹中跨链转币以外，最普遍的便是各种各样区块链技术跨链财产桥，跨链桥合理地摆脱了链与链中间的信息不对称。」PeckShield「派盾」对巴比特说，「伴随着现阶段跨链桥的绿色生态更加多元化的与此同时，网络黑客针对跨链协议也会备受关注，他们是网络黑客财产逃跑的关键步骤，因而，也会变成网络黑客攻击的总体目标。」

PeckShield「派盾」还发觉，攻击者取得成功成功后也会根据跨链桥将财产迅速迁移，再融合混币服务项目将财产漂白。而这类新起的洗黑钱⽅式，也对反工作提升了新的工作压力。

在跨链协议行业，普遍的攻击方式包含窃取客户公钥和签字等信息内容、运用合同中管理权限校检等层面存有的领域模型上的缺点及其链下别的一部分存有的安全风险。

从最近 Chainswap 和 Anyswap 多起跨链协议遭攻击看来，一是协议自身存有漏洞，二是跨链的公钥管理方法不及时。Anyswap 实质上是在公钥管理方法上出了难题。而上文谈及的 THORChain 系统软件曾发生的「假在线充值」漏洞则归属于链下一部分的领域模型难题。

「要预防网络黑客攻击难以，由于项目随意一部分存有漏洞都很有可能导致极大的损失。」成都市链安觉得。

这迫不得已提及「预防网络黑客攻击」这一区块链市场行业老调重弹的难点，从全部领域到 DeFi 行业，再到跨链协议，攻击的目标持续变换，但采用的预防方法实际上基本相同。

最先，跨链协议自身必须查缺补漏。合理、技术专业的财务审计能合理地清查出已经知道的漏洞。

「但与基本的 DeFi 项目不一样，因为跨链项目的独特性，安全性的考虑不可以限于智能合约方面，必须充足高度重视链上一部分和链下一部分，尤其是留意清查与别的 DeFi 商品开展组成时的领域模型漏洞，以防止出现跨合同的逻辑性兼容模式漏洞。」PeckShield「派盾」表明。

次之，项目必须设计方案一定的风险控制熔断机制，引进第三方安全性企业的威协认知情报信息和数据信息趋势情报服务，在 DeFi 安全事故产生时，可以保证第一时间回应安全隐患，立即清查堵漏安全性攻击，防止导致大量的损失。

除此之外，派盾还觉得，能够连动领域多方能量，构建一套健全的财产跟踪体制，实时监控系统有关数字货币的运转状况。

而针对投资人来讲，可以鉴别靠谱的项目也许是重中之重。

一方面，投资人不可以随便将自身的财产资金投入沒有财务审计过的项目，包含已经开展财务审计但并未进行的项目。

「就算是历经财务审计的项目，如跨合同的协议，投资人也不必过多受权。项目方看待跨链协议亦是如此，本次 ChainSwap 的损失很大，蔓延到覆盖面广也是来源于这一缘故。」派盾说。

另一方面，投资人也应当关心参加项目的最新动态，一旦遭受攻击事情，可以立即将自身的资产退出，也许能够防止损失的扩张。

成都市链安强调，此次事情中，好几个代币总项目放在遭受攻击危害后，立即从换取池里清除流通性，实际上是一种比较取得成功的防范措施。

伴随着行业发展，网络黑客攻击事情一次次的产生，持续严厉打击着 DeFi 从业人员和投资人的激情和自信心。但以上文所言，新技术应用的造成和发展趋势都必定会随着着暴风雨的磨练，依然也是有很多从业人员对 DeFi 和跨链的将来满怀希望。

「实际上跨链协议以前就会有一些难题，如今产生多起攻击事情，反倒让一些漏洞浮起了河面。换一个角度观察，也许也是一件好事。」DeFi 投资人陈耀（笔名）告知巴比特。

PeckShield「派盾」观查发觉，BTC 跨链桥的资产经营规模在短期内内发生了猛增。该安全性企业觉得，先前跨链协议较少，伴随着跨链协议绿色生态的发展趋势，要求逐渐提高，给予的解决方法逐渐丰富多彩，顺理成章也会发生发展趋势中的疼痛，而这类短时间疼痛可以逐步推进绿色生态中的各个阶段提升安全防范意识。

成都市链安一样也明确提出了类似的观点。「不论是以前的 THORChain 跨链系统软件「假在线充值」漏洞，或是 ChainSwap 合同配备不合理漏洞，或是 Anyswap 中签字中 R 值的重复使用。实际上每一次安全事故的产生，都是在为事后的项目保持警惕，以勉励他们创建坚固的安全性封地，也将推动绿色生态和技术性更为完善和健全。」

发文：Glendon

全文文章标题：《半个月左右连射 5 起攻击，安全性组织 ：跨链协议需清查与别的 DeFi 产品组合策略的领域模型漏洞丨巴比特观查》

发文：Glendon

DeFi区块链技术金融业贷款基准利率下挫0.3%:金色财经报导，据伙伴客数据信息表明，04月07日DeFi区块链技术金融业贷款基准利率为14.4%，较前一日下挫0.3%。当期美国国债质押认购率（Repo Rate）为0.04%，二者利率差为14.36%。

DeFi标准利率意味着了DeFi资金短缺易水平，利率越高表明融资成本越高，利率越低表明融资成本越低。其与Repo Rate的利率差则有利于DeFi与传统式销售市场作开展类似较为。[2021/4/7 10:04:52]

波卡DeFi新项目Reef Finance进行2000万美金股权融资:波卡DeFi新项目Reef Finance已根据代币总市场销售筹资了2000万美金，该轮股权融资由单一风险投资机构FTX姊妹企业Alameda Research给予适用。Reef期待运用该笔资产进一步开发设计其协议书以用以主网发售。除此之外，Reef还将在Solana上与Serum完成跨链集成化。（TheBlock）[2021/3/12 9:36:21]

OKEx徐坤：7月数据信息总体维持提高，全方位相拥DeFi搭建复合性绿色生态:8月6日，OKEx在深圳市举行“合力盛典”主题风格宴会，OKEx首席战略官徐坤共享了最近动态性。第一，OKEx平台成交量维持提高发展趋势，7月份总体增涨19.3%，在其中股指期权量增涨114%，风险准备金提升1.4亿美金，交收、不断不断零平摊。第二，OKEx高度重视自主创新发展趋势，积极主动不断进取。

OKEx早就在19年就早已完成CeFi DeFi商品方面的连动，是第一家集成化DSR的去中心化交易中心。OKChain现阶段早已适用订单信息簿和商谈都放到链上的Open DEX方式，与此同时也在对于AMM方式开展科学研究。OKEx可能全方位相拥DeFi的浪潮，搭建复合性数据加密财产绿色生态。[2020/8/

标签：

区块链热门资讯