作者：老雅痞
三年前，锁定在DeFi的加密货币总价值仅有8亿美元。到2021年2月，这个数字已经增长到400亿美元；2021年4月，它达到了800亿美元的里程碑；而现在，它已经超过2460亿美元。这个新兴赛道捕捉了资本流动性的价值得到快速增长。
从黑客的角度来看，对defi生态系统的攻击是一种理想并且快速的致富手段，这里显然成为了各种黑客和欺诈者的游乐园。CipherTrace在最新的《加密资产犯罪和反报告》中指出，截至7月底，与DeFi相关的黑客事件已经让用户们损失了3.61亿美元。他们的主要手法是什么？而我们又该如何应对。
DeFi协议的资金是如何被盗的？
REENTRANCYATTACK(重入攻击）
一个鲜明的例子是发生在2020年4月19日的DForce黑客事件。
在defi协议上，首先智能合约有以下四个提款步骤：
BitMart 与 HKVAC 建立战略合作伙伴关系:金色财经报道，数字资产交易平台 BitMart 宣布与香港虚拟资产联盟 (HKVAC) 建立战略合作伙伴关系。
HKVAC 由专业评级机构和虚拟资产行业的利益相关者（包括数据公司、交易所和机构投资者）与香港持牌评级机构共同创立，旨在促进以行业为主导的安全风险管理的重要性。[2023/6/17 21:43:14]
用户调用合约，准备从合约中提现所有资金。
合约检查用户在合约中是否有资金。
合约将用户在合约中的资金发送给用户。
合约自行更新，用户在合约中没有资金。
重入漏洞允许黑客在合约完全执行之前再次调用合约。在上面的例子中，攻击者可以在第三步和第四步之间重新进入合约，并在用户余额更新之前再次退出。通过重复这个过程，他们可以从合约中提取所有现有的资金，在一个循环中反复提取资金从而盗取了2500万美元。
印尼加密交易平台Reku完成1100万美元A轮融资，AC Ventures领投:9月15日消息，印尼加密交易平台Reku宣布完成1100万美元A轮融资，此轮融资由AC Ventures(ACV)领投，Coinbase Ventures和Skystar Capital参投。该笔资金将用于扩大团队，目前该公司拥有80名员工，计划增加50个职位。此外，该平台还将继续关注安全性、合规性、效率和可扩展性。Reku成立于2017年，其去年平台总交易额达30亿美元。据报道，Reku近期任命了前贝恩资本私募股权投资人Jesse Choi为首席运营官。（TechCrunch）[2022/9/15 6:57:19]
FLASHLOANATTACK
最近，闪电攻击已经成为最流行的黑客攻击方法。闪电贷款是一种只在一次区块链交易内有效的贷款，没有违约风险。它意味着贷款人同意向借款人提供任何金额的贷款，前提是在给定的时间内将该金额归还贷款人，否则贷款人可以回滚整个交易。黑客规避了贷款机制，这带来了各种漏洞，如资产价格操纵。?
公告 | MultiVAC 升级当前测试网至 2.2 版本，待运行稳定将发布 3.0 版本:12月11日，为实现 MultiVAC 2.0 版本谜（Engima）到 3.0 版本神谕（Engima）的平稳过渡，MultiVAC 官方宣布现将当前测试网升级至 2.2 版本，预计本次升级于 12 月 11 日 19 时（UTC+8）完成。此次升级包括重建整个网络传输层，建立交互式分片传输架构和有效减少传输数据量；提前嵌入智能合约的基本功能，包括虚拟机和跨分片合约运行，为将来的智能合约功能做足准备；优化共识算法、基本数据类型和跨分片通信，当前系统的性能已经得到升级；改善存储节点的鲁棒性，目前多节点已经实现同步、备份，确保灾备等。[2019/12/11]
闪电贷款攻击是对某一平台的智能合约安全性的滥用，攻击者通常会借入大量不需要抵押的资金。然后他们在一个交易平台操纵加密货币资产的价格，并迅速在另一个交易平台转卖
智能合约的漏洞
声音 | MultiVAC CTO：保证分片的存储和传输都正比于本分片业务量才能真正实现线性扩展:MultiVAC CTO Shawn今日发表观点称，当前很多分片公链只做到了计算的分片，没有实现存储和传输的分片。假设全网是5000 TPS，每个分片的存储和传输也是5000TPS，这意味着矿工负载压力非常大，极大限制了网络性能。他介绍，MultiVAC的全维度分片技术，做到了每一个分片内的计算、存储和传输的业务量，都正比于本分片TPS的业务量，和全网的总业务量无关，真正实现了性能的线性扩展。系统也会根据分片的交易负荷进行判断，当某分片交易负担过重时，支持将分片拆分成两个独立分片，有效提高了交易处理速度。[2019/10/1]
编码错误产生于不小心执行的智能合约安全审计或未检查的智能合约漏洞和脆弱性。令人遗憾的是，许多区块链项目的创始人决定在测试覆盖率不足的情况下运行他们的项目，并忽视了安全审计的相关性，这种疏忽导致被攻击的可能性增加，给投资者带来损失。?
市场警示：填写以太坊钱包地址赠送DAC tokens是局:据金色财经合作媒体IMEOS了解在http://referral.dacc.co/cJB0L0sl有个局，填写以太坊钱包地址即在三周内赠送tokens。此链接非官方链接，在eosDAC官网明确提醒切勿在此期间泄露任何钱包地址。另外网址提供的telegram也不是官方telegram。IMEOS将会持续跟进。[2018/4/12]
价格预言机的操纵：代表例子MakerDao
智能合约的执行依赖于价格oracle所提供的准确数据。然而，获得这些价格数据并不像人们希望的那样安全和可靠。如果oracle提供不准确的数据，智能合约将导致交易错误的执行。这一事实有利于那些试图操纵价格对自己有利的黑客。操控预言机所依赖的信息源进行短时间的价格操纵以达成误导链上价格是典型的预言机攻击，其本质是对预言机进行操控，造成内外价格差并利用闪电贷等新型金融工具从中套利。
应运而生的Defi漏洞赏金平台
传统的网站和应用程序Bug赏金平台，如HackerOne和BugCrowd，在这种旧世界的模式中取得了成功。但现有的"Web2.0"bug赏金和与区块链和加密货币相关的"Web3.0"bug新时代之间存在巨大差异。在去中心化金融时代，Web3.0漏洞悬赏的关键性质是与实际货币价值相关，而不仅仅是软件漏洞。
什么是Immunefi?
Immunefi于2020年12月推出，通过Bug赏金提供智能合约安全。更重要的是，他们已经宣称是世界上首屈一指的bug赏金平台!Immunefi有遏制DeFi黑客攻击问题的野心。为了实现这一目标，它为区块链项目提供咨询服务、漏洞检测、项目管理，以及最重要的是，提供一支白帽黑客的军队。Immunefi寻求将DeFi协议与黑客联系起来，以保护平台和用户的资产。
什么是漏洞（Bug)赏金？
漏洞赏金计划为发现智能合约和应用程序的潜在漏洞的安全研究人员提供奖励。此外，赏金激励白帽黑客发现并向项目报告漏洞，而项目则根据漏洞的严重程度向他们支付报酬。
传统bug赏金面临的困境
经济激励
虽然世界上把黑客分为白帽黑客和传统黑客，但大多数人都在灰色地带活动。举个例子：有一个发现了可以快速赚取500万美元的漏洞的黑客，他自身在巨大的利益面前会陷入道德的困境，他是做正确的事与有bug的平台谈判，以此获得5千美元的bug赏金？还是他自己对这个bug采取行动？如果没有一个一致的、公平的白帽子奖励系统，人性黑暗面的诱惑将永远存在。
报告
Defi项目通常没有人负责处理bug赏金事件。因此，如果一个白帽试图报告一个漏洞，试图找到决策人。另外，如果CTO收到了来自外部的风险提示，说他们的代码有缺陷，他们的自尊心很容易占据上风，赏金猎人并不讨好。即使发现bug全部过程都被通过适当的渠道报告给公司负责人，也不能保证公司会奖赏。财务部门可能还会与开发团队对漏洞赏金的价值产生分歧，整个过程可能会陷入一系列的死胡同。
Immunefi的赏金计划
Immunefi平台代表他们的白帽子和项目团队处理/沟通和谈判，这大大提高了效率压缩了双方的时间成本，Immunefi让黑客保持匿名，并且不要求提供KYC文件。
Immunefi平台已经发布一些有利可图的赏金，其客户Astroport提供高达300万美元的奖励。其他引人注目的赏金来自Celer，价值高达20万美元，xDAI高达200万美元，Sushi发布的125万美元赏金。
Immunefi目前有7100万美元的悬赏金，它想把猎取bug的工作从一种爱好变成一种可行的职业。到目前为止，该平台已经支付了1000多万美元，为客户避免了200亿美元的资金受到损失。
如何启动赏金计划？
在客户填写了Immunefibug赏金登记表后，他们会收到一份调查问卷
Immunefi开始根据这些问题的答案起草一份bug赏金计划，该草案之后会被发送给客户进行审查，修改完成后，该程序将被移交给Immunefi的运营专家。运营专家与项目团队合作，确定赏金活动的启动时间和赏金的公关/营销细节以及费用和支付如何进行。
在Immunefi上发布一个bug赏金不需要预付费用。当黑客发现真正的漏洞时，客户只需在bug赏金的基础上向Immunefi支付10%的绩效费用。
由于defi领域的快速发展，随之而来的安全问题使大多数平台和用户资金受到损失，这也许可以解释为什么Immunefi，DeFi的新兴bug赏金和安全服务平台之一能够迅速捕捉价值，目前已经融资了550万美元的资金，由ElectricCapital领投，参与的还有BlueprintForest、FrameworkVentures、BitscaleCapital、P2PCapital、IDEOColab、TheLAO、BRCapital、3rdPrimeVentures、NorthIslandVentures和其他个人投资者。
Amador在接受TechCrunch采访时补充说："现实情况是，Web3是一个对抗性更强的环境，这意味着漏洞赏金过程的每个部分都与以前不同，从报告的提交和处理，到报告的验证，再到支付的谈判都是如此。传统的Web2bug赏金是一种方便的错误修复工具，而我们的Web3bug赏金则是DeFi项目的一个更为关键的应急系统。
随着DeFi生态积木不断丰富壮大，安全问题一直是高悬在头顶上的达摩克里斯之剑，DeFi被黑客攻击的事件仍然不会停止，未来还会继续发生，这一点无需赘述。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。