區塊鏈:十年損失超200億美元 黑客盯著區塊鏈_OLY

技術不懂是非善惡，區塊鏈黑客事件從未斷絕。

2021年的區塊鏈世界，光明面欣欣向榮，黑暗面也在穩步發展。

據SlowMistHacked不完全統計，2021年區塊鏈世界頻發安全事件，在數量、危險性、涉案金額、影響規模等方面遠超往年，其中還出現了罕見的“白帽黑客”事件，給人們敲響了安全警鐘。

所謂“白帽黑客”，特指以黑客慣用破壞攻擊之法，行維護網絡安全之事的一群人，相對于“黑帽黑客”而存在。不過，2021年最出名的“白帽黑客”卻未在攻擊行為實施之前獲得許可，且涉案金額高達6億美元，只是最后黑客全額奉還被盜資產，而PolyNetwork也放棄追究其法律責任罷了。

技術不懂是非善惡，區塊鏈黑客事件從未斷絕。交易所、錢包、公鏈、各生態DApp、DeFi項目……究竟哪一個是黑客們關注的核心？?

盜走6億美元資產又送回，黑客說“只想提個醒”

2021年8月，一位匿名黑客襲擊PolyNetwork，將以太坊、BSC、Polygon鏈上2.5億美元、2.7億美元、8500萬美元的加密資產悄悄轉移，總金額高達6.1億美元，全程耗時34分鐘。

不過，隨著各方展開圍堵，黑客在其后12天內將盜走的大部分資產退回，聲稱自己對金錢不感興趣，“白帽黑客”的標簽就此誕生。

6.1億美元，這不僅是DeFi史上涉案金額最大的黑客事件，更是整個加密貨幣史上涉案金額最大的黑客事件，規模超過著名Mt.Gox事件以及Coincheck大案。

于佳寧——NFT即將開啟的資產數字化偉大十年:中國通信工業協會區塊鏈專委會輪值主席于佳寧在局·勢 | 新力量 2021 區塊鏈生態應用創新峰會上表示：區塊鏈開啟財富數字化的黃金十年，而NFT即將開啟的資產數字化偉大十年。BTC、DeFi是“入圈”，NFT是“出圈”，是產業區塊鏈的新載體，是推動實體經濟轉型升級的新力量，未來一切皆可NFT。

短期來看，主要是實現以藝術品為代表的線上虛擬財產來實現數字化確權、流轉和交易；中期來看，未來股票、私募股權等傳統現實世界中的資產會實現上鏈，隨時能夠實現流動性轉化；長期來看，通過預言機體系等，實現實物資產從資產上網到資產上鏈的過程，將承載更豐富的資產價值。NFT將固態黃金轉變為液態黃金的區塊鏈偉大力量。[2021/3/29 19:26:49]

面對如此大規模的安全事件，“當事人”不敢懈怠，PolyNetwork當天晚上8點38分發文，對外界公布其受到的攻擊，貼出該黑客在不同鏈上的具體地址，呼吁礦工及交易所伸手援助，阻止黑客地址所發起的交易。

幣安CEO趙長鵬、OKexCEOJay等先后聲援，穩定幣USDT發行方Tether首席技術官PaoloArdoino也聲明Tether已凍結該黑客地址3300萬USDT。

Gemini聯合創始人：巴菲特將在十年內投資比特幣:Gemini聯合創始人Cameron Winklevoss發推稱，當巴菲特購買金礦公司的股票時，他知道有事要發生……通貨膨脹即將到來。他會在十年內找到比特幣。直到2016年，他才找到了蘋果公司（股票代碼：APPL），但現在這是他有史以來最大的一筆投資，價值950億美元，占巴里克黃金公司（股票代碼：BRK）投資組合的44%。

此前消息，8月14日巴菲特的伯克希爾哈撒韋公司出售了其在富國銀行26％的股份以及持有的一定摩根大通股份，購買了巴里克黃金公司近2100萬股股票。[2020/8/30]

盡管圍追堵截，可黑客仍舊以各種手段快速混幣，當日就通過Curve將9706萬美元USDC兌換為DAI，又在BSC上利用Curve分叉項目EllipsisFinance混幣近1.2億美元。

據局面新聞報道，事發當日，Poly運營方團隊通宵達旦，除了因為數額巨大的資產被盜事件背負的壓力外，加密社區中層出不窮的猜想也讓其如芒刺在背，安全研究員MuditGupta、PrimitiveVentures創始合伙人DoveyWan等先后發文暗示此事“內部攻擊”的可能，更有甚者猜測為Poly“自導自演”。

聲勢浩大的圍剿行動激發了圍觀者的吃瓜心理，事發當日，有“好事者”向黑客地址發送交易，留言提醒其USDT已被列入黑名單，黑客對此回禮13.5ETH。

金色相對論 | 夏立：比特幣引起的數字貨幣和開放金融創新正在開啟第二個十年的建設:在本期金色相對論中，針對“目前區塊鏈行業處于什么階段？有哪些特性？”的問題，清華x-lab區塊鏈實驗室主任夏立表示整個行業還是處于早期。有人可能會拿區塊鏈行業對比互聯網行業的發展，這里可以看做分為三個階段，每個階段差不多10年。首先看到互聯網行業在上世紀90年代興起，在前10年基本聚集的都是民間個人或私人企業搭建的信息聚集和分享公網數據平臺，這部分內容主要是普通用戶參與較多。接下來的2000年開始政府、央企及銀行業開始大力發展內部業務服務的深網數據平臺，這部分都是在企業內部或企業間可見，并數據可見范圍嚴格權限管理。最近的10年是互聯網及移動互聯網快速發展的階段，用戶通過互聯網不再是獲得的線上數據服務，而是實實在在的獲得了生活、娛樂、政務、金融服務等各方面之前在線下獲得的服務。這也是來自于公網和深網數據聯合發揮的真正實力。由bitcoin引起的數字貨幣和開放金融創新已經走過了10年，而現在正在開啟第二個十年的建設，這部分主要是金融、政府和大型企業將自己的部分核心業務和數據上鏈，通過DLT技術打造聯盟鏈來建設。這部分數據也屬于深網數據，對于普通用戶幾乎不可見，但它確是有力支撐了數字經濟底層的基石。[2020/3/3]

“致富之路”就此開啟，大量“吃瓜群眾”蜂擁而至，有的談項目、要投資，有的談夢想、要學費，有人讓黑客“拉盤”自己持有的幣，更有甚者直接拜師、認大哥。

聲音 | 超級賬本楊保華：未來十年區塊鏈技術面臨五大挑戰:在由清華經管學院中國金融研究中心主辦的BAC 2018區塊鏈應用大會上，超級賬本全球技術委員、甲骨文區塊鏈首席架構師楊保華表示，未來十年，區塊鏈技術主要面臨五大挑戰，分別是完備的隱私安全、分布式身份管理、可信的智能合約、增強的互操作性、標準化與規范化。[2018/11/25]

可就在圍觀者看熱鬧的時候，事件卻發生了反轉。

事發次日，攻擊PolyNetwork的黑客主動現身Etherscan，通過鏈上交易備注表示其愿意歸還被盜資產，要Poly項目方為其提供一個多簽錢包。

“為什么要退款？”

“我對金錢不是很感興趣，”黑客如此回復道：“獲取這么多財富已經是一個傳奇，而拯救世界更是永恒的傳奇。”

2021年8月11日，黑客歸還了價值470萬美元的資產，其中包括100萬美元的UCDC、價值110萬美元的BTCB，以及價值260萬美元的其他資產。同日稍晚，黑客再次在幣安智能鏈上向PolyNetwork團隊留下的收款地址歸還近1.2億BUSD、2.66萬ETH和1000BTCB，總價值約2.5億美元。

在接下來的12天里，黑客逐步歸還了BSC、Ploygon、以太坊上的所有被盜加密資產，此事的輿論風向也從一開始對被盜事件的震驚、批判，轉變為對區塊鏈網絡安全的關注。

平安集團總經理任匯川：未來十年投入千億進行人工智能、區塊鏈等科技研發:平安集團總經理任匯川3月21日在接受21世紀經濟報道記者專訪時表示，平安未來十年將聚焦于金融+科技雙輪驅動，未來十年（2018-2028年）還預計將要拿出超過一千億做科技研發。十年的投入將讓今天的平安在人工智能、區塊鏈、云、大數據與安全這五大核心技術上都取得重大突破。目前平安對區塊鏈的研發是放在平安科技范疇，主要還是內部的研發為主，平安也是R3的核心會員。在應用方面區塊鏈已經落地在金融壹賬通，金融壹賬通去年實現了12萬億資產交易。[2018/3/23]

2021年8月13日，F2Pool聯合創始人、Cobo聯合創始人兼CEO神魚發布博文，稱PolyNetwork的攻擊者為網絡安全的護衛者——“白帽黑客”，還表示將在Cryptovoxels里建造關于紀念PolyNetwork事件的紀念碑，致謝所有參與者。而后，PolyNetwork也宣布進行主網升級，并邀請此前攻擊者為PolyNetwork首席安全顧問。

哪里有錢，哪里就有黑客

回頭來看，“白帽黑客”事件發生在跨鏈協議被攻破的基礎上，后續漏洞還涉及以太坊公鏈、Polygon生態、穩定幣USDT等，這使得黑客能在幣安、OKEx、Tether等頭部企業封鎖圍剿之下還能快速混幣，轉移被盜資產，這其中展現的安全隱患，值得引起加密世界的警惕。

據SlowMistHacked數據不完全統計，整個2021年區塊鏈生態被公開的區塊鏈安全事件共236起，損失超98.86億美元。其中各生態DApp、DeFi等安全事件127起，占絕大多數，此外還有交易所安全事件14起，公鏈安全事件8起，錢包安全事件3起，其他類型安全事件84起。

從上述數據中可以看出，各生態的DApp、DeFi項目、交易所部分是2021年區塊鏈世界黑客安全事件發生的重災區。

一位資深業內安全人士告訴《鏈新》，加密貨幣交易所中聚集著大量資金，人員復雜，防御脆弱，用戶缺乏足夠的安全意識，易產生安全漏洞，不論是從薄弱點還是獲利的角度上來說，都是黑客們不容忽視的“香餑餑”，而通過攻擊交易所冷/熱錢包形式進行盜幣活動，是2021年的顯著特質。

2021年2月，新西蘭交易所Cryptopia清算人GrantThornton控制的冷錢包被盜事件中，黑客就通過訪問錢包盜走約196萬美元的Xtake。同年8月19日，日本加密交易平臺Liquid同樣是熱錢包被盜，共計損失約9135萬美元。

而除了交易所之外，匯聚資金的錢包也對黑客們形成吸引力，這導致2021年錢包泄漏安全事件層出不窮。據AML11月報告，假錢包App已致上萬人被盜，損失高達13億美元。

在交易所之外，值得一提的還有公鏈攻擊。從2021年8月開始，先有BSV遭51%攻擊，近100個區塊發生重組，再有ETC主網因以太坊客戶端Geth漏洞遭遇分叉，而后Solana主網Beta版也遭遇拒絕服務攻擊，網絡離線17個小時。

可不管是公鏈、錢包、還是交易所，他們在涉事金額、攻擊次數、影響范圍等方面都比不過DeFi、DApp、NFT和跨鏈部分，而這一部分也是去年發生黑客攻擊事件最頻繁的領域。

自DeFi誕生以來，就伴隨著無數風險。近年來，許多DeFi項目價值一直在爆炸式的翻倍增長，被黑事件也愈演愈烈。閃電貸攻擊、合約漏洞、兼容性或架構問題、私鑰泄露或前端攻擊、內部作案……DeFi中種種套路層出不窮，令人瞠目結舌。

2021年，ETH生態SushiSwap兩次遭遇攻擊，SIL.Finance合約出現高危漏洞。BSC生態中，CreamFinance三遭閃電貸攻擊，累計損失超過1.87億美元。EOS生態flash.sx閃電貸智能合約遭受到“re-entry”攻擊。Polygon生態中，收益耕作協議PolyYeldFinance項目合約被利用。此外，HECO生態中也發生DDEX代碼后門事件等。

安全事件頻發于“DeFi、DApp、NFT和跨鏈”部分，此現象不僅發生于2021年，據《鏈新》觀察，該規律從2018年安全事件數量飆升之后就有所顯現，甚至延續到2022年。

十年損失239億美元

從2008年到2022年，黑客事件如蛆附骨跟隨著區塊鏈的發展而日漸壯大。

據SlowMistHacked數據顯示，自2012年至今，全球區塊鏈生態中僅被公開的區塊鏈安全事件就有610起，損失總金額約為238.78億美元。按年限區分，2018年后呈現出明顯的階段性變化，數量和涉案金額都較之前翻倍增長。

區塊鏈安全公司PeckShield和BCSEC調查數據顯示，2018全年，區塊鏈安全事件數量高達138起，造成的經濟損失為22.38億美元，其中以太坊公鏈、EOS公鏈首當其沖，其后依次是交易所、錢包。

其中，以太坊公鏈事件超54起，如“BEC美鏈遭黑客攻擊，一日蒸發9億美元”;EOS公鏈出現超49起安全事故，大多源于DApp生態爆發期間引起的隨機數、假通知、交易回滾等攻擊事件，直接經濟損失高達74.7萬個EOS。

相較之下，交易所攻擊雖然有十余起，但也只有2018年1月26日“日本Coincheck交易所被盜”和同年3月7日“幣安交易所被黑客釣魚”兩個案子影響較大。BTC事故僅有3起，類似9月的“BTC超發漏洞”，也在造成危害前得以修復。

在此基礎上，《鏈新》發現，在以公鏈、交易所、錢包、ETH生態、BSC生態、波場生態、EOS生態、Ploygon生態、HECO生態等為代表九大安全事故場所中，EOS生態、ETH生態尤其被黑客關注，交易所受到的攻擊數也相對較多，這三大領域共發生安全事件超356起，涉事金額超125億美元，總體占比超過52.35%。

同樣的規律也體現在AtlasVPN團隊發布的“2020年區塊鏈黑客”系列報告中。AtlasVPN團隊指出，2020年有47次針對ETHDApps的成功攻擊，以及28起加密貨幣交易所違規行為。

黑客攻擊聚焦于DeFi、DApp各生態、交易所的現象一如既往，直到2022年還在呈現。

截至2022年1月18日，據SlowMistHacked統計，全球區塊鏈生態公開的2022年區塊鏈安全事件共16起，其中除了6起跑路事件外，都是DeFi、DApp各生態的安全事件和交易所的安全事件。

在這樣的情況下，諸多權威機構紛紛發布報告，提醒加密世界注意防范黑客攻擊，加強區塊鏈安全建設。此前McAfee就曾出具《區塊鏈威脅報告》，聲明“區塊鏈是去中心化在線交易的革命性基礎，但有安全風險”。2021年3月，中國信通院也發布《區塊鏈安全能力測評與分析報告》，指出區塊鏈現存“十大安全隱患”，再三提醒外界樹立防范意識。

Tags：區塊鏈POLYOLYPOL區塊鏈技術通俗講解簡書poly幣是什么幣WEXPOLYPolkaSmith

DOT