STA:全方位還原一場社區主導「破獲」的 DeFi 大劫案

作者：Eric，鏈聞

上周對DeFi世界來說是不太平的一周，?PolyNetwork、去中心化年金協議PunkProtocol、BSC上借貸協議Neko、NEAR生態的去中心化交易所Ref.Finance等等項目先后遭到黑客攻擊，損失的金額從數百萬到數億不等。其中部分攻擊者返還了資金，仍有一些黑客至今逍遙法外。

或許正如從PolyNetwork盜取6億美元資產的黑客所言，這個世界上沒有完美的系統，只有我們還沒有發現的漏洞。如果說去中心化的項目因為代碼邏輯漏洞被黑客攻擊還能算是發展道路上的陣痛，那么本身就是以侵吞資產為目的項目就是赤裸裸的犯罪了。

BSC上的穩定幣DeFi項目——StableMagnet

故事的開始要從幣安智能鏈?上的一個DeFi項目StableMagnet說起。

今年上半年以太坊的性能瓶頸在DeFi大熱的情況下引發流量外溢，而背靠幣安的BSC憑借上佳的用戶基礎以及鏈上體驗異軍突起，在以太坊擴容網絡尚未完備的階段迅速搶占市場。不過BSC的火爆也吸引了大量投機項目方，他們部署了帶有流動性挖礦獎勵的DeFi項目吸引用戶參與，也就是所謂「土狗」。這些「土狗」本也就沒有打算長期運營，就是希望利用早期的高收益率吸引一些賭徒，將項目幣價拉高后拋出手中預留給項目方的代幣完成收割。

可以說，這類項目風險較高，你永遠不知道項目方會在什么時候砸盤，更有甚者，有預謀地利用預留的漏洞偷走投資者的資產并從此銷聲匿跡。

BLS CEO Alexey：通過區塊鏈技術建立一個全方位體育生態系統:據官方消息，2021年9月16日Blocsport.one首席執行官Alexey做客XT直播間，與XT AMA專欄主持人Joyce在XT官方英文群以及中文群內進行了在線AMA活動。

在談及發展計劃時Alexey表示：“在Web 3.0和物聯網解決方案的基礎上，我們將建立一個全方位體育加速器生態系統。并且，我們還推出了獨家體育NFT市場和第一個體育新星系列，來縮小體育人才和粉絲之間的市場差距。此外，Blocsport.one也將專注于美國市場中的各種機遇。我們希望通過區塊鏈技術，建立一個透明可靠的體育生態系統。”

XT是一家社交化交易平臺。[2021/9/16 23:29:39]

而StableMagnet就是后者。

據本次項目的受害者描述，StableMagnet在BSCDaily等宣傳渠道中均被提及，吸引了一部分BSC用戶的注意，但并沒有在普通社群引起很大的水花，在多數人看來這大概是無數普通「土狗」項目中的一個。不過社區中有代碼審查能力的成員在檢查了該項目的代碼后得出了一個結論：?這個項目的代碼沒有明顯的漏洞，或者至少說即使項目方存在主觀惡意也無法順利從合約中轉走資產。

由于認為其代碼安全并且APY頗高，在小范圍科學家群體中，這個項目流傳開來。為進一步保障項目安全，項目方甚至主動設置了合約時間鎖。看到項目方采取了進一步的安全措施，審查過合約的專業用戶們更有自信地進行了更大金額的投入，導致這個名不見經傳的項目的?TVL在短短幾天的時間里就從幾百萬美元上升至2400萬美元。?但大家不知道的是，這個項目看似「沒有問題」的外表下，正醞釀著陰謀。

鏈上ChainUP WaaS聯盟為Datahighway(DHX)提供全方位托管服務:據官方消息，鏈上ChainUP WaaS聯盟宣布與Datahighway(DHX)達成深度戰略合作，為DHX提供全方位的WaaS聯盟托管服務，包含主鏈技術開發維護、錢包資產托管、云節點服務等等，雙方就區塊鏈技術應用落地、區塊鏈金融服務、資金安全等方面深度合作。

Datahighway(DHX)是波卡生態官方builder孵化的物聯網項目，西湖Westlake主網于4月9日上線。Datahighway(DHX)已于4月13日今天上線BiKi。

鏈上ChainUP WaaS聯盟作為數字資產托管及金融服務平臺，是鏈上集團依托3年時間所服務的600多家企業客戶技術服務經驗，提供錢包資產托管、云節點服務、主鏈定制開發、熱門幣種一鍵接入、共管錢包、金融衍生品等多種功能服務，聯盟內部企業轉賬 0手續費、實時轉帳。目前已有超過500家企業加入鏈上ChainUP WaaS聯盟。[2021/4/13 20:14:22]

最大的危險潛藏在最隱蔽的角落

雖然項目的代碼邏輯沒有漏洞，但此次問題并不是出在項目本身的智能合約中，而在智能合約調用的?底層函數庫?。項目方在?底層函數庫SwapUtilsLibrary?中植入后門，因此不論項目本身的智能合約代碼是否安全、是否有時間鎖，項目方都可以直接利用底層函數的后門轉移資產。由于?Dopple?和?StableGaj?兩個DeFi項目也基于相同的協議開發，他們底層函數庫SwapUtilsLibrary同樣未經驗證，StableMagnet事件也暴露了這兩個項目的安全風險。

聲音 | 火幣大學于佳寧：產業區塊鏈將在2020年全面落地，引發社會經濟全方位變革:12月28日，在區塊鏈技術應用與發展主題座談會上，火幣大學校長于佳寧表示，技術的價值要通過切實幫助產業轉型升級、提質增效體現出來，給產業帶來的價值增量才是技術的價值。產業區塊鏈將在2020年全面落地，引發社會經濟全方位變革。他表示，未來區塊鏈將成為交易中的一部分，成為一種新的信任要素，這將對價值鏈上的傳統行業帶來重大改變。于佳寧認為，區塊鏈不僅僅是一項技術，“區塊鏈+”也不僅僅是“技術+”，它更是商業模式、組織形態，甚至思維方式的全方位變革。區塊鏈思維是一種互聯網思維、金融思維和產業思維的融合。隨著5G的到來，區塊鏈與其他技術結合給產業帶來的生產率提升不是10倍，而是100倍。[2019/12/29]

RugDoc針對StableMagnet事件所作的漫畫

過去的黑客攻擊事件大都是利用了項目本身的智能合約邏輯漏洞，這導致反而容易忽視對底層函數庫的查驗。而未經驗證的底層函數庫是可以被動手腳的。項目方正是利用了這一點。

北京時間?6月23日的凌晨?，本次事件正式拉開帷幕。

在東八區的大多數投資者還在熟睡之際，項目方通過事先預留的漏洞轉移出了價值?2400萬美元?的資產，項目網站、推特、電報群全部關閉或解散。項目方甚至直接將盜取的部分BUSD以及USDT轉入幣安交易所并換成DAI之后轉出。

動態 | 四方精創報告：具備從區塊鏈底層平臺到應用解決方案的全方位研發交付能力:四方精創（300468）發布2019年半年度報告。報告中表示，該公司積極投入分布式、區塊鏈、跨境支付、云計算等新技術研發，公司目前已具備從區塊鏈底層平臺到應用解決方案的全方位研發與交付能力，具備區塊鏈+通證經濟融合創新應用的能力，并在數字貨幣、應用型通證等加密數字資產領域積累了豐富的研發與運營經驗。報告還表示，該公司結合自身經營情況，一直致力于通過創新驅動戰略，加大力度研發分布式架構、區塊鏈及支付類等新技術，通過與全球不同的區塊鏈聯盟、商業機構與高校的合作，不斷在區塊鏈領域實現創新與突破。[2019/8/30]

項目方實施行動后10多分鐘，Ogle等社區成員已經發現了異常，開始追蹤攻擊地址，也在被盜資產轉移入幣安交易所后在第一時間進行了舉報，但幣安并未即時采取行動。項目方最后還是成功將DAI從交易所中轉出。

值得一提的是，部分知名社區成員以及DeFi安全媒體曾在攻擊前收到?匿名信息?，稱SMAG項目可能跑路，但由于無法確認警告者的身份與信息真實性，加之項目核心的智能合約本身并沒有問題，出于謹慎考慮，收到警告的人并未第一時間在社區中公開這一信息。

社區的反擊

通常在項目被攻擊之后，項目方會聯合投資方共同出力查找黑客或者對損失進行賠償。但StableMagnet的問題是?項目方監守自盜?。為了自救，社區成員決定盡一切可能搜索并定位項目方。于是，一場浩浩蕩蕩的打擊犯罪的行動開始了。

迫于韓國當局的全方位壓力有3家銀行宣布不為虛擬貨幣交易所提供虛擬賬戶:韓國虛擬貨幣交易所將在30日開始恢復實名制，但是有3家銀行決定不為虛擬貨幣交易所提供新的虛擬賬戶，另外3家表示完全沒有為虛擬貨幣交易所提供虛擬賬戶的計劃。新韓銀行，NH農業銀行及IBK企業銀行表示將決定暫停提供新的虛擬賬戶。只有那些以前擁有虛擬貨幣交易賬戶的客戶可以在30日完成確認真實姓名后使用他們現有的賬戶。國民銀行在去年7月虛擬貨幣交易所中發生泄露客戶信息事件之后關閉了虛擬賬戶。KEB韓亞銀行正在考慮與全球金融公司建立自己的區塊連鎖網絡，但并未與虛擬貨幣交易所簽署協議。友利銀行因由于更換自己的計算機網絡，很難在30日之前建立真實姓名系統而決定暫時不提供虛擬賬戶。[2018/1/24]

定位項目方

想要追回資產首先要找到人。據社區成員透露，負責通過技術手段搜查項目方蹤跡的核心工作主要由一位?DeFi領域的KOLOgle以及其團隊完成?，而此人也是該事件的受害者之一。

在交流過程中，Ogle分享了他們獲取線索的一種特殊的方式——?代碼習慣?。社區成員表示，每個寫代碼的人都不可避免地有個人習慣，而這些習慣會在代碼的書寫方式中體現地非常明顯，這種痕跡堪比一個人的「字跡」。Ogle正是在Github上通過StableMagnet代碼中某些特征找到了關聯項目，并通過分析這些關聯項目最終確定了項目方是香港的一個團隊。調查組綜合其他線索，繼而發現項目成員注冊的公司，并通過與公司關聯的公開信息成功尋找到了其他相關成員。

與此同時，?幣安?的調查線索也指向了項目方可能在香港。獲知此消息，香港受害者很快向香港報案。與此同時，社區調查組織也排查獲取到了項目方成員的聯系方式，并試圖進行溝通。但團隊成員無視所有的聯絡，拒絕溝通與還款。

此時，社區中出現希望直接曝光項目方身份的聲音。除了核心社區調查組掌握他們的個人信息，社區中也有聲稱「擁有權限」的獨立匿名組織表示已掌握他們的個人信息，他們希望直接公布個人信息，但被Ogle勸阻。

此后，核心社區調查組無數次公開呼吁項目方與Ogle取得聯系，一方面是推動盡快退款，另外一方面是避免他們的個人信息被失去耐心的獨立匿名人士/組織暴露造成不可控的后果。但項目方成員并未接納這一「善意」。

錯失最佳時機，項目方潛逃

雖然香港已立案，但或許是因為程序問題，香港并未采信社區提供的種種證據。由于項目方在幣安交易所留有痕跡，香港方面希望幣安提供相關證據。但由于一些原因，香港與幣安的溝通陷入停滯。而社區成員沒有執法權，即使他們已經確定項目方身份，也無法控制他們，于是只能等待能夠推進案件的調查。案件一時間陷入了僵局。

不過或許是團隊成員感受到了壓力，也了解到社區已經大致定位了他們的身份與位置，于是在案件停滯不前的階段，倉促逃往了英國。但是等待這些團隊嫌疑人的并不是由于時間的推移而案件平息的劇本，而是一場新的「圍剿」。

抓捕歸案

在大家為香港的進展著急時，社區調查組發現了項目方團隊成員逃往英國的最新行蹤。這也成為了事件的轉機。在社區成員的舉報下，英國很快立案，并且由重案組專門跟進，而英國根據社區提交的信息，啟動了對逃往英國的項目方成員的調查。事情發展到這一步，項目方團隊成員窩藏在英國何處，成為了社區調查組與英國面對的新問題。

根據英國的防疫政策，所有前往英國的旅客都被要求進行10天的自我隔離與申報。如果潛逃的項目方成員按規定自我隔離，理論上是可以搜集到足夠線索追查到他們的確切地址。而壞消息是，截至調查成員與英國截獲這個線索時，團隊成員的隔離期很可能即將結束。

Ogle以及社區調查組對團隊成員可能居留的地址進行了推測分析，并進行了地毯式搜索。最終獲得情報的英國順利抓獲了項目方成員。被捕獲的項目方成員隨身攜帶了大量可疑的加密電子設備，這些設備中存儲的就是投資者被盜的資產。在英國的努力下，被捕的項目方成員最終選擇了配合調查，并同意將攜帶的贓款退回。

至此，這一?長達月余?，?涉及多個國家或地區?，?涉案金額高達2400萬美元?的DeFi詐騙案總算取得了重大進展。

挑釁與還擊

但事情并未完全結束。被捕的成員?退還的資產總計約2250萬美元?，但聲稱有部分資產遺失了。此外，目前仍有部分成員行蹤不明。更蹊蹺的是就在被捕的成員打算退款的時候，有部分價值幾十萬美元的資產被轉移。最終接收到的資產，正好有同等數量的資產缺失。社區懷疑是在逃的項目方成員所為，如果事實如此，這無異于是對社區與的挑釁。

在挑釁下，失去耐心的獨立匿名組織終于忍無可忍，選擇直接公開曝光了他們的身份，并聲稱若在逃項目方人士持續拒絕溝通，將公布他們更多個人信息。而以Ogle為首的核心調查組也一直在努力取得與項目方聯系，以追回全部資產并安撫社區。

嫌疑人照片

退還贓款

退款是所有受害者最關心的問題。英國?成功找回了91%的被盜資產?，所有資產將被退還給全球受害者。值得一提的是，由于部分地區的用戶并不方便接受法幣退款，在社區成員的努力與建言下，英國采用了?鏈上退款?，而并非法幣退款。

英國發布的新聞

受害者需要通過小額打款驗證錢包的所屬權，并且提交一些當地的立案信息以及KYC/AML信息，經過驗證后即可進行退款。雖然對于國內的受害者而言這樣的方案仍有一定執行難度，但這已經為受波及的投資者提供了盡可能大的便利，而對于仍未追回的10%資金，目前社區仍然在努力與英國和國際進行追查，爭取全部資產歸還受害者，以及全力追蹤在逃項目方成員。

英國給社區成員的郵件

截至目前，英國也留意到中國地區的受害者連報案立案都很困難，他們也在考慮進一步優化對中國地區受害者的退款流程。

后續

在采訪社區成員并了解了整個案件的經過后可以發現，StableMagnet案件之所以能夠順利告破，?得益于社區成員的努力以及與的通力合作?。這或許也可以成為一個良好的開端，并為未來類似的事件提供一個典型的案例參考。

在采訪的最后，當被問到未來如何避免此類事件的發生時，Ogle表示，在?CeDeFi領域?，未來或許可以對合約的部署添加KYC要求，并且由一個DAO或一個組織治理。當然很多人會認為這不夠去中心化，許多加密愛好者對此亦不感興趣，但這個方式可能會受傳統金融的參與者歡迎，并且吸引他們入場。這無關對錯，只是看如何取舍。如果在完全去中心化的世界，為了避免遭遇此類事件，建議參與者不要盲目沖頭礦，可以等待3-6周再行參與，雖然拿不到初期的超額收益，但也避免了一定風險。

此外還建議投資者在項目的選擇上盡量選擇安全性更強的項目，例如?實名的團隊、在代碼可驗證的、Launchpad上??發行的、以及經過可靠的安全公司審計的項目等。

最后，Ogle表示，作惡皆有其后果，他會讓作惡者付出代價。這也是社區調查組致力于徹底追查本次事件的初心，即把本次事件當做一次示范，來警示所有企圖利用區塊鏈匿名性去作惡的人：?「即便你躲在電腦屏幕后面，也會在現實世界為自己的行為承擔后果」。

Tags：區塊鏈NETSTADEF區塊鏈通俗易懂的例子圖LGCY NetworkpSTAKE Staked BNBBlaze DeFi

火必