《不安的跨链桥》：如何从保利网络“盗窃”中学习？

黑客事件频发的背后：DeFi 和跨链桥是否足够安全？我们应该吸取什么教训？

作者|多吉

来源|链接

在电影《社交网络》中，扎克伯格在黑进大学校园网络系统，窃取了全校女生的信息后，创建了一个名为“Facemash”的网站，让学生对辣妹进行评分。这一疯狂的举动一度差点让哈佛的服务器崩溃。

面对校董会的盘问，扎克伯格要求校方感谢他对校园网络安全设计漏洞的预警。

不久前，同样的魔法再次发生。 8月10日，Poly Network平台被黑，以太坊、BSC、Polygon三个网络上的资产被转移。

在 34 分钟内造成超过 6. 1 亿美元的虚拟货币盗窃。这也是迄今为止区块链历史上最严重的安全事件。

历经风风雨雨，最近整个事件告一段落。黑客归还所有代币，上演“白帽黑客”大戏。保利网络也表示愿意赠送50万代币作为感谢，虽然被黑客拒绝了。

保利网络也无意对黑客追究法律责任，并表示为鼓励黑客继续与保利网络一起为区块链世界的安全进步贡献力量，特邀白帽黑客担任保利网络首席安全顾问。

8月26日，保利网络在推特上宣布，已完成“保利网络被盗币事件”中受影响用户的资产追回工作。

这样一档顶级黑客带来的顶级真人秀其实给我们带来了一些思考，如何解决DeFi的安全问题，跨链桥是否足够安全，我们应该如何面对区块链的安全问题。

Poly Network 遭到黑客攻击后不久，日本加密货币交易所 Liquid 遭到黑客攻击，9400 万美元的加密资产被盗。毫无疑问，不断的黑客事件将不可避免地给加密货币市场带来技术安全问题的考验。

—1—

保利网被盗币事件：一档顶级真人秀

区块链的历史一直是与安全问题斗争的时期。著名的 The DAO 项目被盗，最终导致以太坊分叉。

包括 Mt.Gox 事件在内，有 744,408 个比特币被盗，当时价值约 4 亿美元。在 2018 年的 Coincheck 案中，当时总价值约 5.34 亿美元的代币被盗，每一次被盗代币都是一起悲惨的安全事件。

交易所盗币事件在过去一直是区块链安全问题的主战场，但现在DeFi受到了更多黑客的关注。

幸运的是，“保利网络被盗币事件”最终完美解决。一方面，推动成果的努力有很多，比如Tether等公司及时冻结黑客钱包中的3300万美元USDT，比如安全审计公司的全力技术支持等。

一方面也是黑客本人的运气，自称“白帽先生”（Mr. White Hat），终于愿意全额退还代币。

公开资料显示，Poly Network 是 Neo、Ontology 和 Switcheo 联合推出的异构跨链协议，分布式技术是其技术提供者。

2020年8月主网上线后，已支持比特币、以太坊、Neo、本体、Heco、BSC、OKExChain、Polygon等11个主流区块链网络，用户规模超过20万。

本次安全事件也反映了人们对跨链桥安全的担忧。毕竟最近跨链桥安全事故频发。

根据慢雾对“保利网络被盗币事件”的分析，慢雾认为，由于EthCrossChainManager合约中的验证和交易执行功能，可以完成一些特定的跨链交易。

同时，EthCrossChainManager 可以通过调用 EthCrossChainData 合约来修改合约 Keeper 地址。白帽/黑客利用EthCrossChainManager合约的verifyHeaderAndExecuteTx函数传入一个写入的数据来改变Keeper的地址来构造一个交易，从而提到资产以太坊和其他三个网络。

当黑客盗币事件发生时，就在各方开始紧急处理盗窃事件之际，黑客开始了链上自问自答的直播消息。

一开始，他还挑衅地表示，如果不拿走协议中的所有资产，他会手下留情。如果剩余的代币被转移，那将是十亿美元的攻击。<​​/p>

起初，黑客从代币中转移资产，同时声称他们对金钱不是很感兴趣，并考虑归还一些代币或将它们留在后面。仅仅半天后，黑客的态度开始进一步转变，准备归还资产，这就需要保利网络团队提供一个多重签名的钱包。

Poly Network 然后提供一个由 Poly Network 控制的公共多重签名钱包。黑客开始陆续返还代币，并于 8 月 23 日公布了私钥。

至此，保利网络被盗币事件的被盗资产全部归还。保利网络也在8月26日发布公告称，已完成“保利网络被盗币事件”中受影响用户的资产追回工作。

在整个过程中，由于黑客几乎每天都会在区块链上发布“自问自答”，此次事件的受害者反而称其为黑客的“小论文”，并在权利保护组。每天都会转发最新的黑客新闻。

黑客在“小作文”中详细解释了他的行为：

很少有黑客能够了解 DdeFi 的安全状况。您会看到很多黑客行为，但其中大多数不如真正的黑客有趣。一些愚蠢的代码造成了很大的损失，但这并没有那么具有挑战性。这就像和一个少年打架。

我承认比特币被盗追回案例，Poly hack 并不像您想象的那么花哨，但我确实从这个项目中体验到了一些新的东西。我想说的是，在 Poly 网络结构中找到盲点将是我一生中最美好的时刻之一。

随着加密世界的发展，我已经有足够的钱了。很长一段时间以来，我一直在探索生命的意义。我希望我的生活由独特的冒险组成，所以我喜欢学习和破解一切以对抗我的命运。命运在我心中。

说实话，我确实有一些自私的动机，通过利用巨额资金来做一些很酷但无害的事情，比如 DAO。然后我意识到，成为一名道德领袖将是我能做到的最酷的事情！

而黑客最终安抚了所有的受害者，并不是说 Poly 团队不可信，而是你没有机会挑战他们的代码，因为代码应该是法律。别担心，你不是真正的受害者。

至于他为什么选择退还虚拟货币，他说：“我对钱不是很感兴趣！我知道人们被攻击时会受苦，但他们不应该向这些黑客学习一些东西吗？？” p>

白帽黑客也在过程中向外界透露了自己的部分身份：“非英语母语，一直从事安全行业，对金钱没有兴趣。

挑战全网：如果有黑客能在一个月内找到我的社交身份，我愿意送他一份私人礼物，说：“即使我被认出来了，我仍然为我的正直感到自豪。”

这也足以体现出黑客对其隐蔽性和技术的信心。

在整个事件中，黑客已经表达了足够的善意。盗币的普通用户道歉，并表示他们不是最终的受害者。一方面，他愿意与项目方积极沟通。

但是，可以看出，黑客一开始就想成为 DAO。我认为，从头到尾，提币并不是唯一的选择。在此次事件中，各方努力的结果也影响了黑客的最终选择。

这件事反映了一个非常重要的安全问题：如何更安全地保护链上资产的安全。

—2—

不安全的跨链桥和 DeFi：安全还有很长的路要走

DeFi 现已成为黑客的重灾区，在过去的一个半月里，DeFi 领域发生了超过 11 起重大安全事件，其中近一半发生在跨链协议中，例如AnySwap、ChainSwap、THORChain 和 Never Network。

2020 年，DeFi 行业全年发生攻击 60 余次，总损失约 5 亿美元。

因此，链上资产的保护主要集中在法律层面的保护和技术安全层面的保护两个方向。

在相关法律文件中，最高人民法院、国家发展改革委联合发布了《新时代加快完善社会主义市场经济体制的规定》。 《司法服务保障意见》。

第六条明确加强数字货币、网络虚拟财产、数据等新型权益保护，发挥司法裁判在产权保护中的价值引领作用充分发挥。 .

随着黑客事件的频繁发生，链上资产的安全性受到越来越多的考验。上海申豪律师事务所合伙人孙军律师认为，链上资产受法律保护。无论出于何种目的，黑客通过窃取资产都触犯了法律。

用户在维权时，项目方应承担相应的法律责任，保障用户资产安全。

在回顾以往案件的审理内容时，笔者发现，例如在国内首例比特币侵权纠纷案中，法院认定比特币具有财产作为权利客体所必须具备的价值、稀缺性和可处置性。具有。因此，在面临链上资产侵权问题时，即使寻求法律援助、报案，也是保护资产安全的最有效方式。毕竟，我们不能期望每个黑客都是白帽黑客。

当然，由于技术手段，交易的全球化市场，以及黑客的隐秘手段，被盗加密货币背后的恢复路径肯定比普通事件的路径要长，所以技术手段的防御肯定是越多越好重要的选择。

关于跨链桥的安全问题是单个项目方的问题还是普遍性的问题，链得得专访了欧克云链研究院高级研究员王海峰。他认为，问题仍然难以解决。结论性的，但跨链桥技术的早期确实是不确定的。

根据欧克云链大师半年报中的数据，今年上半年，DeFi领域至少发生50起安全事件，平均每1起3.@ >6 天。

Poly 盗币，因为涉及的资金数额巨大，引起了业界的关注，能够揭露 DeFi 世界的通病，引发我们的思考。

ChainDD在接受慢雾安全团队采访时也表示，目前这是单个项目方的合约代码有问题，但不排除其他项目方受到类似攻击的可能。

随着DeFi世界的不断繁荣，合约协议和机制设计也越来越复杂，不可避免地会出现更多的安全漏洞。打击，但直接受害者是大多数用户。

所以欧科云链研究院高级研究员王海峰建议比特币被盗追回案例，在筛选DeFi项目时，需要仔细阅读项目白皮书，注意智能合约是否通过了权威机构的审核。

一旦发生盗币事件，欧克云链拥有专业的区块链安全案件研判团队，可协助警方侦破和追回被盗资产。

随着DeFi世界的不断繁荣，合约协议和机制设计必然会越来越复杂，也必然会出现更多的安全漏洞。类似的攻击性事件需要全行业的共同努力来提高行业的安全性。社区和团队需要将更多的精力投入到早期的合约开发建设中，打好“基础”。

王海峰表示，欧克云链也一直在思考如何提升行业应对区块链安全事件的能力，推出了欧克云链大师、链天眼等区块链大数据产品。

链上大师将帮助 DeFi 参与者使用数据指标更理性、量化地评估 DeFi 协议。链上天眼帮助用户规避洗钱、盗币等安全风险。

慢雾安全团队对于下一步提升行业安全的建议是：

1.项目方需要在技术层面保证代码的可用性和完整性，上线前需要做好测试，包括单元测试和回归测试；

2.服务器端安全测试等

Poly Network 事件对被盗币事件的响应速度较慢，这为我们提供了良好的安全预警机制。

SlowMist 安全团队认为，对于目标项目的智能合约异常监控，尤其是涉及资金安全的操作，它是一项非常成熟的技术。

但在很多情况下，监测应急响应会有时间滞后。这个时间差非常绝望。反应完成后，资金可能已经被盗。如果要完全自动化来阻止它，这将涉及到智能。过度合同授权的问题是一个需要权衡的问题。

所以慢雾安全团队认为更现实的做法是及时监控预警，然后尽快人工介入，利用各种“受限权限”止损，发起攻击/漏洞原因分析，以及后续追溯分析工作。

攻击/漏洞的原因分析是为了明确问题点，溯源分析是为了描述黑客的画像，为后期定位黑客和联系黑客提供充分的依据。

毫无疑问，未来黑客的目光肯定会锁定在DeFi和跨链桥上，安全问题也将长期影响该领域。区块链安全问题。

人类进步的阶梯是我们对过去经验的总结和反思。