智能合约给了我们去中心化，无需信任，去信任等众多特点，但去除人为操作之后，一旦智能合约开了天窗，那么资产有可能被黑客予取予求。DeFi普及率和采用率升高，项目方鱼龙混杂，如何才能火眼金睛的保护资产变得愈来愈重要。本片比较浅尝辄止的分析了2021年以来DeFi被攻击的例子，并且提出了预防的方式。偏简单易懂。
目前，DeFi细分市场有两个特点：一是它正飙升至前所未有的高度：它监管不力，几乎没有任何拥有资源或技术技能的人能够经营智能合约并吸引用户。这两个因素使得该领域对攻击者来说十分诱人。这些攻击究竟是如何发生的？如何保护自己？我们将研究其机制，并提供DeFi中最大攻击的例子，以便了解哪些协议需要特别谨慎。最短的DeFi概述
DeFi提供基于区块链的金融服务，如借贷和生息。关键的一点是，DeFi是具有包容性且无需许可的——任何人，无论他们的公民身份、社会地位和信用历史如何，每个人都可以利用它。DeFi是去信任的，因为它运行在智能合约上——所有的条款和条件都是事先描述过的，用代码编写，现在无需人工干预就可以执行。在这里，用户唯一可以信任的是协议团队编写良好代码的能力。反过来，由于大多数项目都是开源的，审计和社区通常会检查这一点。然而，这怎么能给操纵留下空间呢？
2022年Coinbase资产有42%是比特币，24%是以太坊:7月12日消息，TradingPlatforms近期通过研究Coinbase的2022年财务业绩，强调加密货币在其资产中所占的比例，得出的结论为，2022年Coinbase资产的42%是比特币，相比2021年第四季度的40%略有增加。而以太坊占Coinbase资产的24%，其他加密货币占31%。
在此期间，Coinbase的总资产达到了2560亿美元。这一数字比2021年第四季度的2780亿美元下降了220亿美元。该公司将这一下降归因于加密资产价格的下跌。[2022/7/12 2:06:29]
攻击者如何利用DeFi中的不安全性？对DeFi的黑客攻击是指某人利用协议的漏洞来获取锁定在协议中的资金。以下是实现这一目标的三个主要“策略”：DeFi项目制作得非常快，团队并不总是有时间彻底检查他们的代码。黑客利用了这些漏洞。DeFi的每个协议都有自己的机制，用户如何锁定他们的资金，以及他们如何获得回报。有时候，协议的创始人并不知道这些机制是如何被滥用的，并成为大赚一笔的漏洞。一些团队故意制造问题——他们通过出售他们的股份和倾销代币来滥用他们在项目中的巨大影响力。DeFi中最常用的两种攻击方案
2022年第一季度非洲区块链公司融资额同比增长超16倍:5月23日消息，区块链投资公司Crypto Valley Venture Capital和Standard发布的一份报告显示，非洲区块链初创公司在2022年第一季度融资额达9100万美元，同比增长1668%。报告称，虽然非洲尚未出现巨额融资，但预计在2-3年内会出现独角兽企业。（Cointelegraph）[2022/5/23 3:35:51]
让我们看一下DeFi中最广泛使用的两种机制——拉地毯和闪存贷款攻击。
拉地毯——在没人预料到的时候撤回流动性在“拉地毯”中，业主或开发商突然从池中撤出流动性，引发恐慌，迫使所有人都卖掉资产。基本上，这是一个退出局。创始人在一个项目中所占的股份越高，这个项目就越可疑:“拉地毯”正是DeFi讨论的集中化风险之一。它是这样开始的：创始人宣布了一个带有原生代币的新平台，提供了一些很酷的奖励。然后，该团队在去中心化的交易所(如Uniswap)上创建一个流动性池，代币与ETH、DAI或其他主要货币配对。用户被鼓励带来更多的流动性，因为这将给他们带来高收益。一旦代币价格上涨，创始人就会收回他们的流动性并消失。开发者拥有大量股份并不是件好事，但即使有，也有一种保护项目的方法：开发者可以设置一种不允许他们在未来某一天之前退出的程序。这大大增加了对该项目的信任。闪电贷款攻击——抽取和消除流动性
动态 | 美国国会起草2020年加密货币法案 明确监管数字资产联邦机构:12月19日，福布斯发布文章《国会在新2020年加密货币法案中考虑联邦密码监管机构》称，随着国会假期的到来和Libra监管争议，新2020年加密货币法案浮出水面。美国国会正在起草和讨论《2020年加密货币法案》，其目的是澄清哪些联邦机构可以监管数字资产。福布斯透露该法案初步审核内容有：1.将“联邦数字资产监管机构”或“联邦加密监管机构”的定义分配给三个机构：商品期货交易委员会（CTFC）、证券交易委员会（SEC）和金融犯罪执法网络（FinCEN） 。2.将数字资产分为三类：加密货币、加密商品和加密证券。3.联邦加密货币监管机构属于以下类别之一，并被定义为唯一有权监管以下内容的政府机构：CFTC-加密商品；SEC-加密证券；FinCEN-加密货币。4.要求每个联邦加密监管机构向公众公开并保持最新状态，以列出创建或交易数字资产所需的所有联邦许可，证明或注册。5.要求美国财政部长通过FinCEN建立类似于金融机构的规则，以追踪加密货币交易的能力。此外，该法案还对加密商品、加密货币、加密安全性、去中心化的Oracle、储备支持的稳定币、合成稳定币等加密术语做了定义。[2019/12/20]
什么是“闪贷”？它允许用户在很短的时间内，在没有抵押品的情况下，借到无限量的钱——用户必须在下一个区块被开采之前偿还贷款和利息而开采只需几秒钟。如果用户不偿还贷款，交易将不会结束，借入的资金将从用户那里被拿走。闪贷的关键用途之一是套利：从不同平台上的资产价差中获利。比如，以太坊在交易所A的成本为2000美元，在交易所B的成本为2100美元。用户可以获得价值2000美元的闪电贷款，在交易所A购买ETH，在交易所B出售，用户的利润将是100美元减去gas费和贷款费用。
动态 | 观点：2020年将是机构投资比特币之年:据Cyptodaily分析文章指出，2020年似乎即将成为真正的大型机构开始支持加密货币的一年。一旦大型机构开始投资，人们将会看到比特币的价格和受欢迎程度完全飙升。支持比特币的人越多，主流采用的机会就越大。根据福布斯的说法，“事实证明，2019年是区块链科技步入正轨的一年。与比特币和加密货币早期的疯狂相比，区块链几乎在每个行业都取得长足的进步，从保险到药品再到奢侈品。”此外，“在大型企业的支持下，我们看到了底层协议的成熟以及安全和隐私方面的改进。还有很多工作要做，因为核心区块链基础设施需要足够成熟，以便为黄金时段做好准备。与Q1和Q2一样，2019年下半年肯定会有新的发展。”随着区块链和比特币在Facebook手中变得更加成熟，其他公司也将跟进。明年的这个时候，市场看起来可能与今天有很大不同，这是肯定的。[2019/8/14]
闪电贷的无限性质为漏洞利用铺平了道路。以下是快速贷款攻击的一般方案：一个攻击者借200个代币A，价值10万美元(一个代币A价值500美元)。然后，他在A/B流动性池中大举买入代币B。这推高了代币B的价格，而代币A下跌，现在只值100美元。当代币B暴涨时，攻击者以100美元的价格将其卖回代币A。现在，相比最初的200代币，其可以买得起1000代币A(在价格下降5倍后)。然而，攻击者只是在这个智能合约中降低了代币A的价格。闪贷的贷款人仍然以500美元的价格购买代币A。因此，攻击者用他的200代币A偿还贷款，并拿走剩下的800枚。正如所看到的，闪电贷款利用了去中心化交易所的本质，而没有实际的黑客行为。他们只是简单地抛出抛售代币A，并移除池中相当一部分的流动性，这基本上是在窃取流动性提供者的资金。2021年的主要DeFi攻击
动态 | Ikigai资产管理公司认为BTC在2020年很大可能会达到历史新高:据bitcoinist报道，周五，Ikigai资产管理公司发布了其第十次月度加密和传统市场更新报告，Ikigai认为，加密行业可以“从根本上改变世界，并在此过程中创造数万亿美元的价值。” 这家资产管理公司还坚定地认为，BTC在经过第二季度的上涨后，正在向历史新高迈进，较小可能在2019年达到历史新高，很大可能在2020达到历史性高。lkigai指出，主流媒体对加密货币的报道显著增加；无币者加入，或者至少对加密货币表现出了更大的兴趣；交易量激增。Ikigai还表示，加密市场的看涨情绪部分是由Facebook的Libra推动的。该报告对一系列指标(哈希率、交易量、链上活动、USDT增发、短期和长期价格走势)进行了深入分析，Ikagai得出结论，尽管目前比特币价格有所回落，但比特币仍然非常看涨。该公司表示，即将到来的比特币减半事件将催生更大的牛市，将比特币和加密行业推向历史新高。[2019/8/3]
1.MeerkatFinance黑客这是一个典型的拉地毯，然而，表现时异常的玩世不恭。MeerkatFinance是一种流动性挖矿协议，所有者甚至无法使用汇集的资金。在攻击发生前不久(也就是项目启动后的一天!)，他们升级了协议，获得了访问权限，删除了所有MeerkatFinance的社交媒体账户和他们的网站，带着价值1300万美元的稳定币和价值1700万美元的73000BNB的逃跑了。2.AlphaHomora闪电贷款攻击
风险正在上升！今年2月在AlphaHomora攻击中，3700万美元被盗。该借贷平台于2020年10月启动，最近升级为V2版本。在一个AlphaHomoraV2池中，攻击者借入和出借了数百万个稳定币，使其价值膨胀，使攻击者获得巨额利润。3.EasyFi私钥失窃
今年4月，基于Polygon的借贷协议EasyFi遭遇了最严重的一次DeFi黑客攻击。在一次黑客攻击中，一名网络管理员的私钥被窃取，这让攻击者得以获得该公司的资金。价值7500万美元的三百万EASY代币被盗。除此之外，EasyFi的保险库里还有价值600万美元的稳定币被盗。4.SaddleFinance套利利用
这是另一个闪电贷款攻击，尤其是这次。SaddleFinance是一种类似Curve的协议，用于交易包装资产和稳定币，在其发布一天后，于2021年1月21日遭到攻击。通过进行一系列的套利攻击，攻击者在短短6分钟内成功获取了近8个比特币的流动性。这可能是由于池的智能合约中的一个漏洞——攻击者将稳定币的价格拉得太高，以至于价值0.09BTC的一个代币被换成了另一个价值3.2BTC的代币。如何避免选择易受攻击的协议？
“闪贷”总是出人意料地发生，人们也不可能总是提前看到“拉地毯”的可能性。然而，遵循这些建议将帮助用户更多地注意可疑迹象，并可能帮助用户避免金钱损失。特别注意:团队和它的声誉。创始人和开发者是谁？团队是公开的吗？它曾经参与过任何值得信赖的加密项目吗？如果没有，这也不一定是坏事，但应该引起关注。访问金库。这个团队有吗？到什么程度？如果创始人的持股比例过高，这并不是一个危险信号。多重签名访问公司资金。如果开发人员启用了多签名访问库，并且团队之外的人拥有一些签名，这可能有助于防止“拉地毯”。寿命及其流动性。如果开发人员将他们的资金锁定在一年左右的时间内，用户可以放心，团队至少在这段时间结束前不会退出。有什么措施可以保护DeFi不受攻击？
随着DeFi的成熟，池中有相当数量的流动性，池中的大量流动性可能是降低闪电贷攻击风险的主要因素。闪电贷最高限额不允许攻击。对智能合约的安全审计将为易受攻击和配置错误的合约腾出空间。更好的监管将有助于避免故意发布易受攻击的协议。一些项目已经实施了社区漏洞奖励，帮助用户在协议中发现漏洞和后门获得奖励。总结
DeFi使用无需许可和去信任的工具在短时间内提高可观的收入，从而彻底改变了金融。然而，它的众多漏洞经常被攻击者和恶意开发人员使用。每次攻击都要求协议提高安全性，这就是DeFi黑客帮助该行业发展的方式。Source：https://medium.com/the-capital/defi-attacks-and-ways-to-avoid-them-4b827ef456be
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。