Web3 中最大的 DeFi 漏洞：如何防止类似的安全泄露

去中心化金融 (DeFi) 协议向用户提供去中心化的金融服务，允许他们进行交易并与其他参与者达成协议。虽然 DeFi 协议旨在为用户提供安全可靠的平台，但过去几年中的几次漏洞导致资金重大损失。本文将讨论最近发生的一些最广泛的 DeFi 漏洞。

以下是扣除返还资金后的 Web3 中前 8 大加密货币 DeFi 漏洞：

Ronin 链 – $600m

2023 年 3 月是加密货币领域充满事件的一个月，Axie Infinity Ronin 桥黑客攻击以 6.12 亿美元高居榜首。

Ronin 桥是用于热门玩赚游戏 Axie Infinity 的以太坊侧链。

涉嫌与朝鲜有联系的犯罪集团 Lazarus 设法获取了九个交易验证者的私钥，使他们能够批准两笔大额交易并将资金从其钱包地址转移。幸运的是，当局、安全公司和加密货币交易所之间的合作帮助追踪到了一些资金，这些资金被黑客转移到 Tornado cash——一个开源的加密货币混币器——以及其他交易所。

Wormhole 桥 – $323m

2022 年 2 月，发生了一起不幸的事件，加密货币黑客利用 wormhole 的代码卷走了价值 3.26 亿美元的加密货币。

Wormhole 是 Solana 和以太坊之间的代币桥，不幸的是未能阻止攻击。这是由于一个已弃用/死锁的不安全函数绕过了签名验证并启用了签名委托链。

网络安全专家建议，如果开发人员遵循“安全编码实践”，即必须检查所有参数，就可以防止攻击。该检查可以确保有效地址的身份验证，从而排除非法来源访问链上的资产。

Beanstalk – $181m

2022 年 4 月的一个不幸的周末，一名黑客发动了一场震惊加密货币社区的攻击。利用去中心化金融 (DeFi) 协议的一个功能——闪电贷，他们设法从 Beanstalk 稳定币协议中窃取了 1.82 亿美元的 ETH、BEAN 稳定币和其他资产。

黑客通过 Beanstalk DAO 的紧急提交功能提出了两个恶意提案，该功能要求在实施前需要 ⅔ 的投票，并在 24 小时后执行。攻击者利用闪电贷技术控制了 79% 的代币，以通过两项提案并成功执行其计划。

资金从协议内部发送以偿还闪电贷，剩余部分转入与乌克兰紧急基金相关的地址。总共，负责这一勇敢行为的个人拿走了高达 7600 万美元。

Nomad – $155m

令人困惑的 Nomad 桥黑客攻击在 2022 年 8 月 1 日发生时登上了头条新闻。当攻击者利用漏洞从多链跨桥中抽走价值超过 1.9 亿美元的以太坊资产时，许多区块链爱好者感到震惊。

黑客行动迅速而猛烈，数百个钱包参与了 960 笔交易，导致从桥的总锁定价值（TVL）中进行了 1,175 次单独提款。这一切都在几小时内完成。

这次黑客攻击的一个令人困惑的方面是，用户只需复制原始黑客的交易调用数据，将原始地址替换为个人地址，即可完成交易。

这次黑客攻击在去中心化金融 (DeFi) 社区中引起了轰动，证明黑客在利用代码漏洞时始终领先一步。Nomad 桥提供了一个说明性示例，展示了安全编码实践的重要性，并重申了为什么安全仍然是当今区块链项目面临的持续挑战。

CREAM Finance – $130.8m

尽管 2021 年 10 月对 CREAM 的攻击是最大的闪电贷盗窃案之一，但它肯定不是孤立事件。闪电贷攻击涉及使用“闪电贷”的流动性，借入并在同一笔交易中违约这笔快速资金。

通过利用价格计算错误，黑客可以迅速从他们的借贷中获利。例如，在 CREAM 的情况下，两个不同的地址与其 yUSDVault 交互以铸造大量 crYUSD 代币。他们利用了一个会使这些份额价值翻倍的漏洞。虽然他们成功获得了价值 1.3 亿美元的资金，但可用的约 10 亿美元抵押品可以容纳远多于这个金额的资金。 

闪电贷攻击变得越来越普遍，社区应该提出问题，询问如何防止未来进一步的安全漏洞。

BSC 代币中心 – $127m

2022 年 10 月，黑客利用 BSC Beacon 跨桥代码中的关键漏洞，卷走了价值 5.7 亿美元的加密货币资产。

BSc Beacon 链，也称为 Token Hub，是一个连接 BNB Beacon 链 (BEP2) 和 BNB 链 (BEP20/BSC) 的跨链桥。

黑客伪造了称为默克尔证明的加密证明，这些证明旨在确认交易等数据的有效性。反过来，他们使用这些虚假的默克尔证明将资金从 BSC Beacon 跨桥转移到其他链。

一旦 Tether 将攻击者的地址列入黑名单，迅速采取行动，从 BNB 链冻结了超过 700 万美元，没收了他们大部分的不义之财。

Harmony Horizon – $100m

2022 年 6 月，Harmony Horizon Bridge 项目遭到破坏，黑客窃取了其五个验证者私钥中的两个，使欺诈者能够转移价值 1 亿美元的代币。

这一安全问题是由于桥的设置方式造成的，采用了 2 个 5 验证方案。因此，攻击者只需要两个批准即可使任何恶意交易得到验证。为了掩盖踪迹，攻击者使用 Tornado Cash 洗钱了他们部分的不义之财。 

虽然这种设置最初看起来是安全的，但它被证明是坏人有利可图的目标，并对那些中招的人上了一堂昂贵的区块链安全课。

Rari – $91 m

重入攻击自以太坊早期就已存在。它们利用合约漏洞在原始交易获得批准或拒绝之前反复提取资金。

2022 年 5 月，两个去中心化金融平台以这种方式遭到破坏，黑客窃取了 9000 万美元。Rari Capital 的 Jack Longarzo 表示，攻击者利用了该公司，而 Rari Capital 合并的 Fei Protocol 向黑客提供了 1000 万美元的赏金。

区块链安全公司 BlockSec 解释说，黑客利用了重入漏洞。 

开发人员可以通过在以太坊区块链上部署之前正确测试和审计合约来防止此类攻击。

如何保护自己免受 DeFi 漏洞的影响

DeFi 协议变得越来越流行和复杂，使其成为黑客的诱人目标。以下是七个帮助您保护自己免受 DeFi 漏洞影响的提示：

1. 在投资任何项目之前进行彻底的尽职调查。检查平台的代码、网站、团队成员和社交渠道是否存在红旗。
2. 确保受信任的来源审计您与之交互的合约，并且审计结果公开可用。
3. 不要在一个 DeFi 合约中存储大量资金，使其更容易受到攻击。
4. 随时了解最新的安全新闻，以了解新的漏洞。
5. 为所有与 DeFi 协议交互的账户实施适当的身份验证和授权程序。
6. 确保您的钱包安全，并尽可能使用双因素身份验证。
7. 定期监控您在区块链上的资金和交易，以检测任何可疑活动或未经授权的提款。

遵循这些提示可以帮助您保护您免受 DeFi 漏洞的影响，并确保您在与去中心化金融协议交互时资金安全。然而，也要记住没有系统是完美的，因此在处理数字资产时采取额外的谨慎总是最佳做法。

结论

总体而言，安全是处理加密货币和 DeFi 协议时最重要的考虑因素之一。不幸的是，随着行业的不断增长，恶意活动的风险也在增加。虽然无法保证绝对安全，但遵循这些提示可以帮助您保护自己免受 DeFi 漏洞的影响并保持资金安全。 

通过及时了解区块链安全的最新发展，并确保为所有账户实施适当的身份验证程序，您可以帮助确保您的数字资产保持安全。