Rhythm AMA | Suy ngẫm về vụ trộm DeFi lớn nhất lịch sử, làm sao để tham gia DeFi một cách an toàn

Vào lúc 19:30 ngày 11 tháng 8 năm 2021, Eddie Wang, nhà nghiên cứu cấp cao tại Viện nghiên cứu chuỗi đám mây Ouke và Bowen từ Đối tác phòng thí nghiệm Smrti là khách mời tại Rhythm AMA, thảo luận về "Vụ trộm DeFi lớn nhất trong History" với Zhang Shuhao, Biên tập viên điều hành của Rhythm BlockBeats Một cuộc trao đổi trực tuyến đã được tổ chức với tiêu đề "Suy ngẫm về vụ việc, Làm thế nào chúng ta có thể tham gia DeFi một cách an toàn".

Vào ngày 10 tháng 8, PolyNetwork chính thức tuyên bố rằng tài sản trên chuỗi BSC, Ethereum và Polygon đều bị tấn công. Sau khi thống kê Khoảng 610 triệu USD tài sản tiền điện tử đã bị đánh cắp. Một hòn đá làm dậy sóng, có rất nhiều cá voi tiền điện tử trong số người dùng Poly Network. Số tiền bị đánh cắp khổng lồ như vậy đã trở thành vụ trộm quỹ dự án lớn nhất trong lịch sử DeFi.

Mặc dù hacker sau đó đã bày tỏ sẵn sàng trả lại tài sản nhưng vụ việc đã để lại một "cái bóng" cho toàn bộ những người thực hành DeFi và những người tham gia ”. Liên quan đến cuộc tấn công của hacker này, Eddie Wang, nhà nghiên cứu cấp cao tại Viện nghiên cứu chuỗi đám mây Ouke và Bowen, Đối tác của phòng thí nghiệm Smrti, cũng khôi phục lại sự thật của vụ việc ở một mức độ nhất định và bày tỏ ý kiến của riêng mình.

Vậy với tư cách là người dùng thông thường, chúng ta nên tham gia DeFi một cách an toàn như thế nào? Có lẽ bạn có thể tìm thấy một số câu trả lời trong cuộc trò chuyện này.

  ;

 Sau đây là nội dung của AMA lần này do Rhythm BlockBeats tổ chức như sau:

Nhịp điệu BlockBeats: Ngay khi mọi người đang phát cuồng vì hình đại diện NFT, DeFi, vốn không còn là điểm nóng trong một thời gian dài, đã hứng chịu một cuộc tấn công cấp độ lịch sử và 610 triệu USD đã bị đánh cắp. Poly Network đang đàm phán với bọn tin tặc và chúng tôi không biết kết quả cuối cùng sẽ thế nào. Chủ đề của sự kiện của chúng tôi là "Suy ngẫm về vụ trộm DeFi lớn nhất trong lịch sử". Điều quan trọng nhất là chúng tôi hy vọng rằng mọi người có thể sàng lọc các dự án DeFi để tránh gặp phải những vấn đề bảo mật như vậy. Đầu tiên, hãy yêu cầu hai vị khách giới thiệu ngắn gọn về bản thân.

Eddie Wang:Xin chào mọi người, tôi là Oukeyun Eddie đến từ Viện Nghiên cứu Chuỗi tập trung vào việc cung cấp những hiểu biết chuyên môn và báo cáo phân tích được thúc đẩy bởi dữ liệu lớn về blockchain. Ouke Cloud Chain Group là tập đoàn công nghiệp blockchain hàng đầu thế giới, hiện sở hữu nhiều đơn vị nổi tiếng trong ngành như OKLink Blockchain Browser và Sky Eye on the Chain. Bao gồm dữ liệu lớn blockchain, nghiên cứu, phát triển và ứng dụng công nghệ blockchain, đầu tư vào ngành blockchain, vườn ươm blockchain và các hoạt động kinh doanh khác.  

Nhịp điệu BlockBeats:Tấn công từ xa Sự việc đã xảy ra trong hơn 24 giờ, hacker kiêu ngạo đã dành 34 phút để tấn công giao thức chuỗi chéo Poly Network. Người dùng O3 Swap dựa trên giao thức này đã bị thiệt hại nặng nề và tài sản trị giá khoảng 610 triệu USD đã bị đánh cắp.

Hiện chưa có xác nhận rõ ràng về phương thức tấn công. Từ các cuộc thảo luận trong cộng đồng, có vẻ như có hai lý do thời gian này. Một là lỗi "siêu cửa hậu", còn hai là lỗi giám sát không có "khóa thời gian". Điều thú vị là vấn đề “siêu cửa hậu” đã được nêu ra từ đầu tháng 5 và vấn đề “khóa thời gian” cũng đã khiến nhiều dự án DeFi bị tấn công. Hai vị khách nghĩ gì?

Bowen:Lỗi siêu cửa sau này. Đó là một tin đồn, trước tiên hãy để tôi làm rõ nó cho bạn  Báo cáo của SlowMist là một lời giải thích tương đối có công chứng, nguyên nhân chính của cuộc tấn công là do Contract Keeper có thể bị hacker mũ trắng/hacker lợi dụng để sử dụng chức năng verifyHeaderAndExecuteTx của hợp đồng EthCrossChainManager nhằm chuyển dữ liệu bằng văn bản nhằm thay đổi địa chỉ của Keeper.

"Nguyên nhân cốt lõi khiến mạng Poly bị tấn công". Vấn đề về khóa thời gian thực sự là một điểm mà các cầu nối chuỗi chéo phải cân bằng giữa hiệu quả và bảo mật.

Cuộc tấn công này thực chất là một cuộc tấn công vào cầu nối chuỗi chéo của Polynetwork, gây thiệt hại cho các nhà đầu tư của O3 .

Eddie Wang: Như Bowen đã nói Bởi vì các chức năng xác minh và thực hiện giao dịch trong hợp đồng EthCrossChainManager có thể hoàn thành một số giao dịch chuỗi chéo nhất định và EthCrossChainManager có thể sửa đổi địa chỉ Keeper hợp đồng bằng cách gọi hợp đồng EthCrossChainData, tin tặc xây dựng giao dịch bằng cách thay thế địa chỉ Keeper, từ đó đề cập đến tài sản cho Ethereum, v.v. ba mạng không được gọi là lỗi siêu cửa hậu.

Cần lưu ý rằng ngay cả khi bản thân hợp đồng thông minh đã hoàn tất, những sự cố không mong muốn vẫn có thể xảy ra sau khi xếp chồng và kết hợp. , đây cũng là lúc các giao thức DeFi cần đặc biệt chú ý.

Nhịp điệu BlockBeats: Từ Ouke Cloud Judging Từ trình duyệt chuỗi, cuộc tấn công bắt đầu lúc 17:55 và kết thúc lúc 18:29, tổng cộng là 34 phút.Tuy nhiên, về cơ bản cộng đồng chỉ bắt đầu phát hiện và thảo luận vào lúc 7:30.Thời gian phản ứng của nhóm dường như muộn hơn , với một người ở giữa Có khoảng thời gian trống trong nhiều giờ, tại sao lần này phản hồi lại chậm như vậy?

Bowen:Cuộc tấn công này là như vậy tương đối phức tạp, Poly đóng vai trò là cầu nối xuyên chuỗi và O3 đóng vai trò là giao dịch stablecoin xuyên chuỗi, do đó mọi người không phản ứng trong một thời gian.  

Eddie Wang:Trên thực tế , nhóm cũng có thể mất thời gian để tìm hiểu điều gì đã xảy ra, xác định tính chất và chi tiết của vụ việc cũng như thống nhất quan điểm trước khi lên tiếng, bao gồm việc xác định liệu một cuộc tấn công có xảy ra hay không, số lượng liên quan và quá trình kết nối với các nền tảng bên ngoài và các đội an ninh. Đồng thời, do cuộc tấn công này xảy ra trên một cầu nối xuyên chuỗi nên hacker đã trực tiếp rút tiền về 3 mạng Ethereum, BSC và Polygon, kể cả khi nhóm phát hiện ra lần đầu cũng có thể cần phải kết nối với từng tổ chức và cộng đồng để tạo điều kiện thuận lợi cho những gì chúng tôi sẽ làm sau này. Tôi đã thấy cảnh xử lý hợp tác của nhiều bên.

Rhythm BlockBeats: Trên thực tế, nhóm vẫn đang trả tiền rất quan tâm và đang làm việc với Công ty bảo mật cho biết điều đáng lo ngại nhất trong vụ tấn công này là số tiền bị đánh cắp là 610 triệu đô la Mỹ, trong đó có nhiều siêu cá voi. Trên thực tế, cá voi khổng lồ đã giám sát và cảnh báo sớm cho tất cả các dự án, tại sao lần này ngay cả cá voi khổng lồ cũng bị thiệt hại tài sản?

Bowen:Tầm cỡ của hoạt động giám sát có thể be Một định nghĩa chi tiết hơn là cần thiết. Có quá nhiều thứ có thể được theo dõi, chẳng hạn như chuyển khoản số lượng lớn mã thông báo LP của O3, nhưng tôi không mong đợi sự cần thiết phải phát hiện giám sát theo thời gian thực đối với tài sản cầu nối chuỗi. Điều này cũng nghe có vẻ là lời cảnh tỉnh cho các mạng cấp hai trong tương lai. . Cách giám sát toàn cầu, hệ thống mua lại và báo động cứng nhắc của các quỹ cầu nối chuỗi chéo.  Các cơ sở giám sát hiện tại giống như Tuyến phòng thủ của Macedonian, chỉ có thể phát hiện các lỗi bị lật ngược, nhưng rất khó để giám sát các sự cố xảy ra lần đầu.

Eddie Wang:Có~hiện tại The việc giám sát có thể chủ yếu tập trung vào việc đẩy thông báo sau khi hành vi trên chuỗi xảy ra, nhưng nó có xu hướng nhắc nhở sau khi hành vi chuyển tiền xảy ra và phục vụ nhiều giao dịch và tin tức thị trường hơn. Ví dụ: việc phát hành đồng tiền ổn định, giao dịch lớn & việc ra vào LP. Thứ hai, bản thân dữ liệu trên chuỗi quá phức tạp và phạm vi giám sát vẫn chưa được xác định rõ ràng. Ngay cả những con cá voi khổng lồ cũng gặp khó khăn trong việc giám sát tất cả các hành động trên chuỗi và việc người dùng bình thường có được thông tin liên quan ngay lập tức còn khó khăn hơn.

Tất nhiên, tôi khuyên mọi người nên chú ý đến OKLink. Chúng tôi cung cấp phân tích và khai thác dữ liệu trên chuỗi cho các chuỗi công khai chính thống như Bitcoin và Ethereum. https://www.oklink.com/chainhub

Rhythm BlockBeats:Trên thực tế, sau vụ việc, một tại chỗ một lần nữa Cuộc thảo luận về Mã là LUẬT. DeFi phi tập trung có nên chịu lỗ và tìm kiếm sự giúp đỡ từ thế giới tập trung không? Hai vị khách nghĩ gì về vấn đề này?

Bowen:Mã là mã. Luật là luật. Khi một bên gặp khó khăn, tất cả các bên đều hỗ trợ, để có môi trường pháp lý tốt hơn trong tương lai, cần có sự giúp đỡ của bất kỳ bên tham gia nào, kể cả những đồng tiền bị khóa như USDT.

Rhythm BlockBeats: Thực tế về việc khóa tiền xu Tôi có một thắc mắc, ví dụ USDT bị khóa nhưng USDC thì không, vậy chúng ta có nên lên án USDC không?

Bowen:USDT hoạt động tích cực hơn , USDC cần giữ thái độ trung lập vì công ty mẹ Circle yêu cầu tuân thủ việc niêm yết.  

Nhịp điệu BlockBeats:Đó là EddieW , bạn nghĩ gì về Code is law?

Eddie Wang: Trước hết, mặc dù DeFi và tài sản kỹ thuật số tồn tại trong một thế giới phi tập trung, nhưng những người tham gia DeFi có đặc tính quốc gia và công dân của riêng họ. Hiện tại, việc giám sát, lập pháp và tư pháp đối với tài sản kỹ thuật số vẫn đang trong giai đoạn thăm dò trên toàn cầu, nhưng nhìn chung, các quốc gia đang dần nhận ra giá trị của tiền ảo chính thống.

Tại Điều 127 Bộ luật Dân sự nước tôi, "bảo vệ tài sản ảo trực tuyến" được bảo lưu. Có một khoảng trống nhất định và trong nhiều trường hợp, tài sản kỹ thuật số vẫn được bảo vệ dưới dạng tài sản ảo. Vì vậy, theo chúng tôi, nếu gặp phải sự cố bảo mật trong thế giới DeFi, vẫn cần tổ chức và thu thập bằng chứng để sử dụng sau này.

BlockBeats: Trên thực tế, chúng tôi cũng đã nói chuyện với một số nạn nhân của cuộc tấn công này và hỏi họ tại sao họ lại tham gia vào Hoán đổi O3. Lý do họ lựa chọn là vì nền tảng đội ngũ và nền tảng thể chế tốt, nhưng họ không ngờ rằng vấn đề vẫn sẽ nảy sinh. Quay trở lại chủ đề của chúng ta, hai vị khách tin rằng với tư cách là những nhà đầu tư thông thường, chúng ta nên sàng lọc và tham gia vào các dự án DeFi như thế nào?

Bowen: Chúng tôi vẫn học được rất nhiều điều đắt giá trong thời gian này thời gian Bài học:

1. Sự cần thiết của việc khóa thời gian

2 . Sự không chắc chắn ban đầu về các cầu nối chuỗi chéo 

3. Mã cần phải có nguồn mở sớm, công khai sớm và phải được cộng đồng và nhà phát triển xem xét nhiều hơn 

Đồng thời, người dùng không nên bỏ tất cả trứng vào một giỏ. Trước đây, một nông dân DeFi già đã mất 100 đô la trong một dự án vào tháng 10 năm 2020. Mười nghìn đô la Mỹ, nhưng vì tài sản của anh ấy đã bị phân tán và anh ấy tham gia sớm nên chỉ rút được một phần tiền.  Tất nhiên có một câu nói đùa rằng Curve là một dự án đã được thử nghiệm từ lâu và các hacker/mũ trắng sẵn sàng tin vào điều đó.

Nhịp điệu BlockBeats: Ouke Cloud Chain As là một tổ chức bảo mật blockchain hàng đầu, chúng tôi có thể đưa ra lời khuyên và hỗ trợ bảo mật nào cho người dùng trong các sự cố bảo mật DeFi?

Eddie Wang: Tốt hơn hết là tôi nên trả lời đầu tiên Câu hỏi đầu tiên.

Tôi tin rằng nhiều thành viên trong gia đình trong nhóm là những người kỳ cựu trong các dự án DeFi và đã có thể sử dụng các chỉ số như dự án TVL và lượng nắm giữ lớn để xác định giá trị tiềm năng của các giao thức DeFi. hiện tại'' Ouke Cloud Chain Master '' cung cấp nhiều chỉ báo dữ liệu thị trường DeFi và đã đưa ra danh sách xếp hạng DeFi, bao gồm các dự án DeFi chính thống trên thị trường. Chúng tôi hy vọng rằng với sự trợ giúp của các chỉ báo dữ liệu, mọi người có thể đánh giá các giao thức DeFi một cách hợp lý và định lượng hơn.

Tất nhiên, bạn cần thận trọng khi vào nhóm thứ hai~ Về hỗ trợ bảo mật, Ouke Cloud Chain đã đưa ra một khối Sản phẩm bảo mật chuỗi được gọi là [Chain Eye], có các chức năng như phân tích địa chỉ, ánh xạ giao dịch và giám sát trên chuỗi. Nó cũng được mở miễn phí cho toàn bộ mạng. Bạn có thể dùng thử.

Với sự trợ giúp của Sky Eye trên chuỗi, chúng tôi có thể giám sát một số địa chỉ của hacker và luồng tài sản liên quan, điều này có thể giúp người dùng tránh những rủi ro liên quan.

Nếu gặp sự cố bảo mật, bạn cũng có thể liên hệ với nhóm Sky Eye trên chuỗi của chúng tôi và chúng tôi sẽ cung cấp hỗ trợ tương ứng để tăng khả năng khôi phục tài sản bị đánh cắp.

Rhythmic BlockBeats: Hàng trăm triệu cái này Thời gian Quy mô của cuộc tấn công cấp đô la Mỹ đã vượt quá các trường hợp trước đó nhiều lần. Ngoài ra, hacker cực kỳ kiêu ngạo. Dường như hắn có thể lấy và trả lại tài sản trong hợp đồng thông minh bất cứ khi nào hắn muốn. Điều này dường như không đúng có tác động đến một dự án duy nhất. , nó dường như đã tăng tác động của nó lên ngành.

Hai vị khách tin rằng cuộc tấn công này sẽ trở thành bước ngoặt đối với DeFi, cho phép tài chính truyền thống bước vào cuộc chơi. ?

Bowen: Tài chính truyền thống sẽ tiếp tục tỏ ra do dự. Cần có những dự án có thể chịu được thử thách của thời gian. Do sự tuân thủ và giám sát, tài chính truyền thống sẽ khó thâm nhập DeFi trong thời gian ngắn. Các phiên bản tổ chức của Coinbase và Composite có thể được coi là cầu nối giữa tài chính truyền thống và lợi nhuận cao của Crypto.  

Ví dụ: tài chính truyền thống yêu cầu săn bắt sau và bảo hiểm, nhưng DeFi hiện không thể cung cấp các nhu cầu tuân thủ đó .  

Eddie Wang:Poly Security Do số tiền liên quan rất lớn nên vụ việc đã gây ra tác động tương đối lớn đến dư luận trong ngành, nhưng chúng tôi tin rằng nó sẽ không ảnh hưởng đến sự phát triển chung của thị trường DeFi.

Kể từ Mùa hè DeFi năm ngoái, các dự án mới trên thị trường DeFi lần lượt xuất hiện và nhiều dự án đã thất bại. Các sự cố bảo mật như hacker tấn công và đánh cắp tiền tệ có thể là một quá trình tất yếu trong quá trình phát triển của DeFi. Đồng thời, thế giới phi tập trung phải có đủ khả năng phục hồi. Bản thân các cuộc tấn công liên tục của hacker cũng là một “bài kiểm tra căng thẳng” đối với giao thức DeFi, vì vậy chúng tôi tin rằng sự cố này sẽ không làm lung lay các nguyên tắc cơ bản của DeFi.

Mặt khác, sự tham gia của các tổ chức đã trở thành xu hướng trong năm nay và một số đã bắt đầu nắm giữ tài sản của các giao thức DeFi hàng đầu, bao gồm The những công ty hàng đầu trong ngành như Grayscale, đồng thời, các giao thức DeFi hàng đầu như Aave và Uni đã bắt đầu liên hệ với các tổ chức truyền thống. Các nguyên tắc cơ bản của DeFi sẽ không bị lung lay bởi sự cố này.

Rhythm BlockBeats: Có vẻ tích cực đối với DeFi Tác động đến ngành sẽ không đặc biệt lớn.Các dự án DeFi khác sẽ có những phản ánh gì?

Bowen:Tôi trích dẫn Thầy Min Dao Một nhóm DeFi rất trung thực đã phục hồi thế hệ đầu tiên sau khi nó bị đánh cắp.

Khả năng kết hợp là điểm hấp dẫn của DeFi và do đó nó đã trở thành gót chân Achilles của DeFi. Giờ đây, tất cả các giao thức DeFi đều có một mức độ rủi ro thâm nhập nào đó và bạn có thể thất bại vì những lý do không liên quan gì đến bạn.

Những người khởi nghiệp DeFi nghiêm túc cần chuẩn bị tinh thần. Khả năng bị hack là giai đoạn cần thiết cho mọi dự án chứ không phải nếu, nhưng khi nào.

Người xem cũng nên hiểu biết hơn. Cho dù nhóm dự án có làm việc chăm chỉ đến đâu và cho dù kiểm toán viên có siêng năng đến đâu , họ không thể dùng hết mọi đòn tấn công. Có một phép ẩn dụ đơn giản, nếu nhóm dự án muốn chứng minh nước biển có vị mặn thì bạn phải uống hết nước biển, nhưng đối với một hacker, chỉ cần anh ta uống một ngụm nước biển và nó không mặn thì anh ta sẽ đánh lừa bạn. Đây là một trò chơi bất đối xứng ngay từ đầu.  

Mặc dù có vẻ như bạn có thể xây một tòa nhà cao tầng trong thời gian ngắn bằng cách dựa vào người khác, nhưng bạn phải cũng hãy cẩn thận về nền móng bên dưới. Liệu độ ổn định của nó có thể chịu được thử thách hay không.  

Nhịp điệu BlockBeats:Eddie có Bạn nghĩ sao?

Eddie Wang: Theo thống kê, trong hiệp 1 của năm nay, lĩnh vực DeFi đã xảy ra hơn 50 sự cố bảo mật, trung bình mỗi tuần có 2 sự cố bảo mật. Ngành thực sự có thể cần phải suy nghĩ xem liệu nó có đang phát triển quá nhanh hay không.

Chúng tôi tin rằng trước hết, cộng đồng và nhóm cần phân bổ nhiều năng lượng hơn cho việc phát triển và xây dựng hợp đồng sớm một “nền tảng” tốt”, đặc biệt là những rủi ro tiềm ẩn do việc kết hợp hợp đồng thông minh đã đề cập trước đó gây ra.

Thứ hai, khi thế giới DeFi tiếp tục phát triển thịnh vượng, các giao thức hợp đồng và thiết kế cơ chế chắc chắn sẽ ngày càng trở nên phức tạp hơn và đó là điều không thể tránh khỏi. Nhiều lỗ hổng bảo mật sẽ xuất hiện. Ngành cần suy nghĩ cách giải quyết các vấn đề đã được đưa ra, bao gồm không giới hạn các hợp đồng bảo hiểm mà Bowen đề cập, và kiểm toán hợp đồng chuyên sâu hơn, v.v.

Nếu ai không may gặp phải sự cố bảo mật, bạn cũng có thể liên hệ với chúng tôi. Chúng tôi có chuyên môn trong việc xử lý các trường hợp bảo mật blockchain. nhóm nghiên cứu và đánh giá có thể hỗ trợ để tăng khả năng thu hồi tài sản bị đánh cắp.

https://www.oklink.com/eth/address/0xC8a65Fadf0e0dDAf421F28FEAb69Bf6E2E589963 Bạn cũng có thể xem chuyển động theo thời gian thực của tiền của hacker thông qua trình duyệt OKLink.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia