访谈：为何黑客持续攻击去中心化金融协议及解决方案

TL;DR 摘要

• 黑客攻击加密货币和去中心化金融协议的频率持续攀升。
• 在2021中，加密货币行业因攻击损失超过7十亿美元。
• 为何黑客持续 targeting 加密货币行业。

黑客攻击去中心化金融领域及更广泛的加密货币行业的频率持续成为行业关注的焦点。

据报道，2021年发生了169起区块链黑客攻击事件，近70亿美元资金被黑客盗取。在过去一个月中，报告了不少于五起加密货币黑客案件，去中心化金融协议Cream Finance是最新受害者。据称被盗金额超过1.3亿美元。

为此，Cryptopolitan 采访了 HashEx 的首席执行官兼创始人 Dmitry Mishunin。HashEx 是一家专注于区块链在企业流程集成及网络安全方面的研发公司。Dmitry 在网络安全和去中心化应用程序方面拥有深厚的技术背景，并在开发信息安全系统方面有着令人印象深刻的经验。

以下是访谈摘录

问：对于用户近期面临的众多黑客攻击和漏洞利用，您感到惊讶吗？

不幸的是，并不惊讶。我们看到越来越多的人在编写智能合约。但通常他们缺乏足够的编程技巧和对 Solidity 的良好理解——Solidity 是目前唯一与以太坊兼容的编程语言。要创建可靠的去中心化金融协议，必须对编程语言有深入的理解，不了解其某些细微差别很容易导致漏洞利用和资金被盗。

问：接受或签署包含恶意代码的智能合约如何导致您的资产被盗？

每个用户都应该知道，区块链交易是不可逆的：一旦您批准将一定数量的 ERC-20 代币转入 ERC-20 智能合约，它将被不可逆转地转移。合约可能拥有经过验证且无漏洞的源代码，但也可能依赖某些未验证的库。批准代币给此类合约风险很大，因为您无法检查该库的工作原理。
StableMarket 项目就是这种情况，当时至少2700万美元的用户资金被盗。StableMarket 项目的合约拥有经过审计的代码，但部署时使用了未验证的库。该库是恶意的，它窃取了存储在协议中的用户代币。

用户面临的另一个风险是批准代币给可升级的智能合约：此类合约可能会自动升级并植入恶意代码，从而窃取已批准的代币。
通常，前端应用程序会批准合约的最大代币数量，而不仅仅是即将使用的代币数量。这是为了在单笔交易中支付 Gas 费。如果用户将代币存入合约，他将需要额外支付 Gas 费。但如果合约恶意运作，在这种情况下，它可以提取钱包中的任何数量的代币。

因此，为了获得最大安全性，最佳做法始终是检查批准金额，并仅批准合约操作所需的金额。

问：黑客是否变得更聪明了，还是加密货币用户在网络安全程序方面变得不那么谨慎了？

这两种说法都是正确的。黑客在利用闪电贷平台与不同协议结合以创建和利用漏洞方面取得了重大进展。就其本身而言，这些其他平台大多数时候是安全的，但闪电贷增加了更多的结构复杂性，使得漏洞更加频繁。

此类攻击非常复杂。甚至分析它们也需要大量时间。此外，还有许多项目因代码质量差、存在简单错误而被黑客攻击，如果进行测试或代码经过适当审计，这些错误本应被消除。
部分责任也在于用户，因为许多人知道能降低风险的安全实践，例如冷存储。但他们经常忽视这些做法，因追求可能带来数倍投资回报的机会而失去理智。有时，他们最终只是损失了金钱。

问：用户如何更好地保护他们在 Metamask 及相关去中心化应用（如 OpenSea 和去中心化金融）中的资产？

最好的保护方法不是将所有资产存储在热钱包中，而是将其发送到冷钱包：冷钱包没有互联网连接。最好在热钱包中只存储操作所需的小额资产，其余资产存放在冷存储中。
此外，用户应遵循标准安全规则：使用防病毒软件，避免打开电子邮件中的可疑链接，并在可能时使用双重身份验证。

问：随着行业的发展，黑客攻击和漏洞利用是否会变得更加普遍？

随着行业的发展和新项目的推出，更多项目将面临被黑客攻击的风险。你无法消除所有项目中的所有错误，但区块链安全公司正在不断努力减少这些错误。这不仅包括对项目源代码的审计，还包括开发分析工具，以帮助从根本上防止错误出现，或者至少在开发早期阶段发现它们。

问：HashEx 在加密货币行业的发展中扮演什么角色？

我们向人们普及去中心化应用程序使用的透明性和安全性。其工作逻辑对于普通用户来说过于复杂和难以理解。此外，没有理智的人会将他们的资金交给他们不理解的东西，就像皮诺曹在奇迹之地一样。我们用通俗的语言解释复杂的概念，揭示人们应该意识并试图避免的陷阱，并帮助潜在投资者对其资金做出明智的决定。

但首先，我们是一家专注于去中心化金融和加密货币的审计公司。这意味着我们进行了大量的智能合约审计，从而帮助加密货币项目赢得投资者的信任，因为投资者更信任那些受到良好保护、免受可能对其投资者造成财务打击的成本高昂错误的项目。

问：对于七国集团（G7）和美国总统乔·拜登结束勒索软件、网络安全和频繁加密货币黑客攻击的举措，您有何看法？

安全标准的持续改进是我们日常工作和企业理念的一部分。我们致力于在无需信任的去中心化金融领域建立信任。这个问题在任何 IT 领域都至关重要，而不仅仅是去中心化金融。随着新软件产品的快速涌现，网络安全方面 unfortunately 没有得到足够的重视，这为黑客利用创造了机会。造成这种情况有两个主要原因：“鼠标点击式编程”和提供不必要高薪的低质量劳动力。

这是快速发展的 IT 企业的弊端。在这种残酷的竞争环境中，企业试图超越彼此，推出新产品，并且经常对安全问题视而不见，尽管这些问题非常重要。结果，有时我们会看到一些被大量客户使用的大型系统，但它们仍然存在可能导致用户资金损失的错误。有时，这些错误的后果甚至可能是大陆范围的。

从这个角度来看，政府干预是完全合理的。如果不是州政府介入这些问题，还有谁会去遏制贪婪的商人，并说服他们致力于安全措施和以合理的方式开发软件？

如果人们开始向政府机构报告黑客攻击，这将产生积极影响。及时的信息有助于通过启用备用渠道来最小化潜在故障的后果（美国东海岸石油供应的情况可以视为这种做法的一个好例子）。

如果由专家而非局外人制定，行业内的统一安全标准也将大有裨益。即使在去中心化应用开发的当前早期阶段，我们也看到领先审计机构正在实施此类标准。整合这些协议将对所有人有益：它将使编程更容易，代码更安全，并保护用户的资金。

问：这些黑客攻击反映了其对加密货币行业的影响

对加密货币行业的反馈是一种控制被盗资金的努力。我认为这是一件好事。目前，您无法通过加密货币获得现实世界的所有便利。这种情况每天都在变化，但远非完美。因此，黑客仍然需要一条在加密货币和法币资金之间提取非法获得资金的桥梁。

这是犯罪分子可以被识别的阶段。发现的越多，愿意再次尝试的人就越少。人们可以回想起东方文化中过去如何为了盗窃而砍断肢体。这种执法机构的干预对加密货币行业及其声誉有着完全积极的影响。这些行动让人们感到更安全。

问：许多加密货币黑客背后的不良行为者/玩家，您建议对他们采取什么制裁措施以威慑他人？

正如我之前所说，我完全支持惩罚此类个人。我会将这些行为视为不同程度的金融欺诈，并对此采取相应的法律行动。我不会试图在此时制定新法律。

问：一个没有黑客攻击的加密货币世界几乎不可能实现，加密货币利益相关者、政策制定者和所有相关人员如何将攻击减少到最低限度？

任何 IT 领域都无法想象没有网络威胁。但是，当我们谈论普通企业时，我们只看到冰山一角，而不是全貌。有许多更多的黑客攻击发生在视线之外，因为如果此类知识公开，公司可能会损害其声誉。在加密货币中，一切都是透明且众所周知的，所以媒体更经常报道这些事情。

网络安全是一项多维度的实践，包括加密到法币出入金点的监管框架、用户教育、网络安全团队检查代码等。这个行业仍然年轻，这为引导其朝着正确的方向发展提供了极好的机会。这样，我们可以从一开始就采用更安全的实践，而不是试图在后来修补漏洞。