聊聊那些黑客事件 | ChainBreaker Podcast 第五期精彩回顧

以下為本次直播活動的觀點摘要。

背景介紹

上週的 DeFi 世界並不太平，Poly Network、NEAR 生態去中心化交易所 Ref.Finance 等項目先後遭到黑客的攻擊，損失金額從數百萬到數億不等。我們將回顧其中幾個事件，討論黑客事件頻發的原因以及我們該如何應對。

區塊先生 Chris

大部分的開發者並不是大家想的那樣什麼都知道，許多開發者也像投機客一樣，想要賺錢，不會仔細地去想哪個環節會受到攻擊。所以，就算看到一個項目有很多次審計，但也不絕對安全，現在比較安全的項目還是一些大型的例如 Aave、Curve、Compound。

對高年化利率要十分警惕，有些高年化利率的項目挖兩三個以後可能會遇到幣價暴跌或直接被攻擊。

很多好的項目會花很多的時間在如何讓項目變得更加安全，而不是在項目的宣傳上，對於很多十分注重宣傳或者進展非常快的項目，要十分警惕，潛在的風險會比較大。一個項目一旦被攻擊一次，用戶對這個項目的整體信任就會下降。

關於審計，知名審計公司審計過的項目也不一定非常安全。隨著 DeFi 的火爆，許多審計公司會有非常多的訂單，導致他們沒有十分認真地去做審計。現在大部分的合約都是 fork，比如可能審計公司已經審計過 Uniswap 了，然後現在 100 家公司去分叉 Uniswap，審計公司就覺得這些都是同樣的東西，只會象徵性地審計一下就出具報告。但如果被審計的這個項目改了一點什麼，審計公司十分有可能看不到。除此之外，很多公司不是為了安全而審計，而是為了宣傳而審計，知名的大牌的審計公司可能並不會十分認真地去審計，因為需要審計的項目眾多。所以，很多項目其實可以去找一些當地的審計公司，沒有很多單子的審計公司，他們反而可能會更負責任一些。

鏈聞 潘致雄

對 DeFi 協議方而言，如何來增加一些安全性呢？首先，新協議有 1 到 2 家安全審計是很有必要的，安全審計能夠發現一些常見的問題。除此之外，還可以在沒有正式網上線之前啟動漏洞賞金計劃。一般的協議在上線正式網之前，會在測試網做一些測試，但測試網的問題是沒有激勵，就算黑客發現有漏洞，也沒有興趣去攻擊或者告訴開發者，但這些漏洞會伴隨著協議上正式網，隨著項目資金越來越多，黑客就會開始有興趣了。

對於用戶而言，首先要知道自己的風險偏好。此外，分散資金，不能把大量的資金都放在同一個協議。同時，要清楚 DeFi 目前還是處於一個早期階段，能像 Uniswap、Curve、Compound、Aave 這些經常長期測試的協議沒有那麼多，只有少數幾個協議經過了大量的測試，新協議會有一定潛在的風險，不要輕易去嘗試新項目。

用戶提問

1、黑客利用合約進行操作，盜取大量資金，到底有沒有道德或者法律問題？如果 Poly 事件的黑客最後沒有歸還資金，那麼區塊鏈共識如何解決這個問題？在哪個國家開庭或者哪個國家的執法機關進行調查？

鏈聞 潘致雄：

第一個問題，的確合約都是開源的，所有人都可以看到，但是每個合約都有它所規定的一個業務邏輯和它想要達到的一個業務效果，能夠提供哪些服務。當然，這些服務肯定會附帶著一些限制，不能獲得超過權限的東西，比如在資金池的時候，需要某些邏輯來保證資金池的安全。但是開發者很可能在執行這些非常細的業務邏輯的時候，有一條沒有搞清楚或者沒寫清楚或者寫出了一個 bug。針對這種情況，如果黑客找到了一個業務邏輯中的漏洞，或者找到業務邏輯和代碼層面的中間的一個問題的漏洞後才套到利，這無論從道德還是法律方面來看都是不合理的。

第二個問題，如果黑客最終沒有還錢，很多受害者可能會直接找到 O3 或者 Poly Network 的團隊，因為他們是這個項目的維護者，他們維護的項目出了問題。

區塊先生 Chris：

未來可能會出現一個 DAO，充當政府或者警察的角色，大家把資金灌注到一個地方，全面去審查市場上的這些合約，甚至未來可以評出一些分數，或者幫忙修補漏洞，現在 DeFi 世界中就缺少這樣的一個自治組織。

2、IDO 平臺可以做些什麼事情來控制風險提高項目的質量？

鏈聞 潘致雄：

對於一個 IDO 平臺來講，他們可以做一些簡單的審核，理解這個業務到底是幹什麼的，團隊大概都有誰，怎麼運作。但是 IDO 平臺不具備審計能力，他們主要依賴審計公司的審計報告，來決定項目到底安不安全。

關於 ChainBreaker

「 ChainBreaker」直播欄目由全球區塊鏈整合營銷公司 Winkrypto 發起，Youtube 頻道訂閱粉絲過萬的知名視頻博主 Mr.Block 區塊先生和區塊鏈第一中文內容平臺 ChainNews 鏈聞聯合推出，旨在傾聽、溝通、連接海內外加密社區。每週五 20:00，「 ChainBreaker」將邀請海內外行業領袖人物暢聊加密領域熱點話題，分享加密技術發展趨勢，揭秘加密世界的八卦等，積極參與直播問答環節還將有機會獲取專屬「ChainBreaker Podcast」NFT Ticket 等神秘福利空投。

鎖定頻道和往期回顧：

• TG Group

• Twitter

• 喜馬拉雅

• 鏈聞專欄

• 播客油管