DeFi “黑色5月” 啟示:欲速則不達,創新大於 “Fork”

買賣虛擬貨幣

今年5月是DeFi歷史上被攻擊次數最多、損失最大的一個月。在5月發生的與DeFi相關的25起安全事件中,閃電貸攻擊事件最多,大約有11起,此外,BSC是被攻擊次數最多的平臺,遭到了15起攻擊。

文:Paul Song 責編:Ting Peng

自2020年以來,去中心金融(DeFi)已被證明是加密貨幣生態系統的一個顛覆性領域,隨著機構投資者被DeFi領域中可獲得高收益的潛力所吸引,它也在全球金融市場掀起浪潮。

過去一年,整個加密貨幣領域經歷了爆發式的發展,其中DeFi賽道尤為突出,表現極其出色,DeFi 協議的總鎖倉價值一度衝擊 1300 億美元。

然而,DeFi快速、迅猛式的前進的弊端逐漸顯現。DeFi巨大的財富效應對投資者極具誘惑力,但這也使得DeFi領域成為駭客們的“取款機”。

近期,DeFi安全事件屢見不鮮。5月是DeFi歷史上被攻擊次數最多、損失最大的一個月。

PeckShield態勢感知平臺資料顯示,過去一個月,整個區塊鏈領域共發生46 起安全事件,有關 DeFi 的事件達到25 起。

“黑色5月”,DeFi駭客攻擊頻發

可以說,DeFi之火起於以太坊,爆發於以太坊。

隨著大批使用者透過以太坊湧入DeFi中,以太坊的交易手續費不斷飆升,這讓大部分人無法接受,從而迫使使用者們遷移到幣安智慧鏈(BSC)上。

BSC依靠其更低的手續費和更快的交易速度,很快在DeFi領域中佔領一片高地,這也推動了DeFi的進一步發展。隨之而來的是,BSC火爆之後,其也很快成為了駭客們的“溫床”。

在5月發生的與 DeFi 相關的25起安全事件中,閃電貸攻擊事件最多,大約有 11 起;損失金額普遍較高,至少6個專案的損失超過1000萬美元;此外,BSC是被攻擊次數最多的平臺,遭到了15起攻擊。

在瞭解近期DeFi遭受大量駭客攻擊之前,我們有必要重新認識一下閃電貸以及閃電貸攻擊。本文將著重分析BSC駭客事件,因為相比BSC的15起攻擊,以太坊鏈上只有 3 起。

何為閃電貸?

除了利用傳統金融原語外,DeFi領域也不斷誕生一些極具創新性的金融原語,比如閃電貸。但是,閃電貸的出現讓大量DeFi專案置於安全隱患之中。

閃電貸本身是一種工具,它只是利用區塊鏈技術,為投資者提供一個在不同DeFi 協議之間進行套利的機會。

閃電貸允許使用者透過無抵押的方式借出流動性池內的所有代幣,但需在進行一系列互換抵押清算操作之後、交易結束之前歸還所借代幣以及固定的借貸成本。

必須承認的是,閃電貸是DeFi中最令人興奮的原生創新之一,未來的應用前景十分寬廣。

眾所周知,中心化借貸通常是以點對點的方式來撮合執行的,其中中心化交易所承擔者中間人的角色。而去中心化借貸則大大不同,大部分專案採用“資金池”來撮合交易,以實現借貸雙方的需求。

無論是中心化借貸,還是去中心化借貸,都需要透過抵押完成借貸行為,甚至一些專案要求滿足超額抵押才能進行借貸。而無需抵押的閃電貸為傳統借貸市場無法想象的事情帶來了一種新的可能性。

然而,閃電貸的貸款和償還的交易必須在同一個區塊內完成,這給駭客們帶來了利用閃電貸發動攻擊的機會。

今年4月,加密資料聚合器Messari報告稱,閃電貸攻擊已成為DeFi生態系統中最受歡迎的攻擊方式,約佔自2019年以來的DeFi攻擊的一半。

駭客透過閃電貸借出大量資金來提高幣價、完成拋售,以實現套利,最終攜帶著不當利益退出協議。

閃電貸攻擊中心——BSC

BSC是一種公共的、無需許可的基礎設施,它允許開發者在零審查的情況下構建和部署DeFi協議。

在過去的幾個月裡,BSC一直是DeFi漏洞的中心,因惡意行為而遭受損失的協議正在增加。

4月,Messari研究員Ryan Watkins注意到了BSC驗證者的中心化問題,他表示:“BSC擁有21個活躍的驗證者,使其比大多數平臺更加中心化。這個驗證者組每天由幣安鏈確定,而幣安鏈由11個驗證者管理。”

5月,如期而至,BSC安全事件集中爆發,其中損失最大的是著名的基於BSC的DeFi協議PancakeBunny,它在5月20日遭遇的大規模閃電貸攻擊中損失了高達2億美元的BNB及4200萬美元原生代幣Bunny。

其他執行在BSC上的DeFi協議最近也被駭客攻擊和利用,包括Cream Finance、bEarn、Bogged Finance、Uranium Finance、Meerkat Finance、SafeMoon和Spartan Protocol。

繼PancakeBunny之後,去中心化金融生態系統BSC在一週內遭遇了第二次閃電貸攻擊。攻擊致使DeFi平臺Bogged Finance損失了300萬美元,相當於其總流動性的一半。

另外,5月18日,BSC最大借貸平臺VENUS發生大額清算,疑似被惡意操縱。這導致2億多美元的DeFi清算和1億多美元的協議壞賬,大量使用者遭受了損失。Venus協議宣佈最終損失7700萬美元,Swipe團隊將不再參與專案管理。

5 月 28 日, BSC 上首個自動化做市商BurgerSwap 和 去中心化協議 JulSwap 也遭到了閃電貸攻擊。

本月早些時候,加密貨幣交易所Gate.io首席營銷官Marie Tatibouet對Cointelegraph表示:“由於BSC的中心化性質,缺乏嚴格評估加劇了這些漏洞被利用”。他補充說:“他們每星期都有數百個專案獲得綠燈。”

DeFi安全啟示——創新大於“複製”

BSC透過“複製”以太坊,在有限創新的基礎上,吸引了一大批基於以太坊的使用者,BSC因此快速崛起。

與此同時,BSC生態中的很多仿盤專案利用Uniswap等以太坊明星專案的開原始碼,經過“複製”後快速上線。而 Fork 給 BSC 上的專案帶來了很多隱患。

據 PeckShield分析,BurgerSwap 和 JulSwap 的程式碼都是 Fork(分叉) Uniswap 的,但它們並沒有完全理解 Uniswap 背後的邏輯。對於駭客來說,這些Fork專案直接向他們敞開了“自家大門”,可以予取予求。

值得注意的是,BSC在去中心化方面做了妥協,這也意味著BSC存在一些駭客可以利用的攻擊點。

以太坊聯合創始人Vitalik Buterin曾指出區塊鏈“不可能三角”難題——區塊鏈不可能同時具備以下三個屬性:去中心化、安全性和可擴充套件性。這本質上意味著,改善這三個方面中的一個,將意味著其它兩個屬性在某種程度上受到了傷害。

閃電貸作為最頻繁的攻擊之一,任何DeFi 專案都應該注意防範閃電貸攻擊。

除此之外,駭客還會利用不同的漏洞頻繁地進行攻擊,包括金鑰的洩露、編碼錯誤、濫用第三方協議。

隨著DeFi行業接二連三的駭客攻擊事件發生,開發者們需要重審DeFi 帶來的危險和機遇,以構建一個真正安全的去中心化金融生態系統。

DeFi在全球金融領域尚有大量亟待開發的潛力。DeFi不僅僅是一個技術噱頭,它再次揭示了區塊鏈技術的強大力量。

隨著越來越多的加密貨幣被主流採用,鎖定在DeFi的總價值可能會隨著加密貨幣在全球貨幣供應中份額的增加繼續提高。

免責聲明:

  1. 本文版權歸原作者所有,僅代表作者本人觀點,不代表鏈報觀點或立場。
  2. 如發現文章、圖片等侵權行爲,侵權責任將由作者本人承擔。
  3. 鏈報僅提供相關項目信息,不構成任何投資建議

推荐阅读