链得得独家】“跨链桥不稳”：保利网络“盗窃案”如何吸取教训

在电影《社交网络》中，扎克伯格侵入了大学校园网络系统，窃取了全校女生的信息，并制作了一个名为“Facemash”的网站，供学生对辣妹进行评分。 这一疯狂举动一度让哈佛大学的服务器险些崩溃。 面对校务委员会的质询和质询，扎克伯格要求校方感谢他对学校网络安全设计漏洞的预警。

不久前，同样神奇的事情又发生了。 8月10日，Poly Network平台遭到黑客攻击，以太坊、BSC、Polygon三个网络上的资产被转移，导致34分钟内超过6.1亿美元的虚拟货币被盗。 这也是迄今为止区块链历史上最严重的安全事件。

历经波折，整个事件于近日告一段落。 黑客归还所有代币，上演“白帽黑客”大戏。 保利网络也表示愿意捐出50万代币换取感谢，虽然被黑客拒绝了。 保利网络也无意追究黑客的法律责任，并表示为鼓励黑客继续与保利网络一起为区块链世界的安全进步做出贡献，特邀请白帽黑客担任保利网络首席安全顾问。

8月26日，保利网络在推特上宣布，已完成“保利网络盗币事件”中受影响用户的资产恢复工作。

这样一档顶级黑客带来的顶级真人秀，其实也给我们带来了一些思考，如何解决DeFi的安全问题，跨链桥是否足够安全，我们应该如何面对区块链的安全问题。

在 Poly Network 被黑后不久，日本加密货币交易所 Liquid 被黑，9400 万美元的加密资产被盗。 毫无疑问，持续不断的黑客事件，必然会给加密货币市场带来技术安全问题。

保利网络盗窃：顶级真人秀

区块链的历史一直是与安全问题的斗争。 著名的 The DAO 项目被盗，最终导致了以太坊的分叉。 包括 Mt. Gox 事件在内，共有 744,408 个比特币被盗，当时总价值约为 4 亿美元。 2018 年的 Coincheck 案中，当时总价值约 5.34 亿美元的代币被盗，每一次盗窃都是一起惨痛的安全事件。

交易所被盗币事件过去一直是区块链安全问题的主战场，而如今DeFi更受到黑客的关注。

幸运的是，“聚网盗币事件”最终得以完美解决。 一方面是多方努力的结果，比如Tether等公司及时冻结了黑客钱包中的3300万美元，以及安全审计公司的全力技术支持。 一方面，也是黑客本人的运气，自称“白帽先生”，最终愿意全额归还代币。

公开资料显示，Poly Network是由Neo、Ontology、Switcheo联合推出的异构跨链协议，Distributed Technology是其技术提供商。 2020年8月主网上线后，目前支持包括比特币、以太坊、Neo、Ontology、Heco、BSC、OKExChain、Polygon等11个主流区块链网络，用户规模超过20万。

这起安全事件也反映了人们对跨链桥安全的担忧。 毕竟最近跨链桥安全事件频发。

根据慢雾科技对“Poly Network盗币事件”的分析，慢雾科技认为：由于EthCrossChainManager合约中的验证和交易执行功能，可以完成某些特定的跨链交易，同时EthCrossChainManager可以修改通过调用 EthCrossChainData 合约的合约 Keeper。 地址，白帽/黑客利用EthCrossChainManager合约的verifyHeaderAndExecuteTx函数传入一个写入的数据改变Keeper的地址构造交易，从而将资产转移到以太坊等三个网络。

黑客盗币事件发生后，当各方开始紧急处理盗币事件时，黑客开启了链上直播留言问答。 一开始他就挑衅地说：他手下留情，没有带走协议中的所有资产。 如果转移剩余的代币，那将是十亿美元的攻击。

一开始，黑客转移了代币的资产，同时声称自己对钱不是很感兴趣，并考虑退回一些代币，或者保留。 仅仅半天后，黑客的态度开始进一步转变，准备归还资产，要求Poly Network团队提供多重签名钱包。

Poly Network 然后提供一个由 Poly Network 控制的公共多重签名钱包。 黑客开始陆续归还代币，并于8月23日公布了私钥。至此，Poly Network被盗币的被盗资产已全部归还。 保利网络也在8月26日公告称，已完成“保利网络被盗币事件中受影响用户资产的追回工作”。

整个过程中，由于黑客几乎每天都会在区块链上发布“自问自答”，因此此次事件的受害者称其为黑客的“小作文”，并每天在维权中转发黑客的最新作文。保护组。 进入动态。

黑客在《小作文》中对自己的行为进行了详细的解释：

很少有黑客了解 DdeFi 的安全状况。 你看到很多黑客，但他们中的大多数都不像真正的黑客那样令人愉快。 一些愚蠢的代码造成了很大的损害，但这并不具有挑战性。 这就像对抗一个少年。

我承认，Poly hack 并不像您想象的那么花哨，但我确实从这个项目中学到了一些新东西。 我想说，找出 Poly 网络结构中的盲点将是我一生中最美好的时刻之一。

随着加密世界的发展，我已经有了足够的钱。 一段时间以来，我一直在寻找生命的意义。 我希望我的生活是由独特的冒险组成的，所以我喜欢学习和破解一切以对抗命运。 命在我心。

老实说，我确实有一些自私的动机，想利用巨额资金做一些酷但无害的事情，比如 DAO。 然后我意识到成为一名道德领导者将是我能做的最酷的事情！

而且，黑客们终于安抚了所有的受害者，不是保利团队不值得信任，而是你没有机会挑战他们的代码，因为代码应该是法律。 别担心，你不是真正的受害者。

至于他为什么选择退还虚拟货币，他说：“我对钱不是很感兴趣！我知道人们在受到攻击时会很痛苦，但他们不应该向这些黑客学习一些东西吗？”

白帽黑客在此过程中也向外界透露了部分身份：“非英语母语，一直从事安全行业，对钱不感兴趣。并挑战全网：如果有黑客能发现一个月之内，我愿意送他一份个人礼物，说：“虽然我身份认同，但我仍然以我的正直为荣。 “

这足以体现黑客对其隐蔽性和技术的自信。

在整个事件中，黑客一直在表达足够的善意。 一方面，他会向被盗币的普通用户致歉，并表示他们不是最终的受害者。 另一方面，他也愿意与项目方积极沟通。

不过也可以看出，黑客一开始是有做DAO的想法的，退币自始至终都不是唯一的选择。 在事件中，各种努力的结果也影响了黑客的最终选择。

这件事反映了一个非常重要的安全问题：如何更安全地保护链上资产的安全。

不安全的跨链桥和DeFi：安全任重而道远

DeFi 现在已经成为黑客攻击的重灾区。 在过去的一个半月里，DeFi 领域发生了超过 11 起重大安全事件，其中近一半发生在 AnySwap、ChainSwap、THORChain、Never Network 等跨链协议中。

2020年，DeFi行业全年发生攻击事件60余起，总损失约2.5亿美元。

因此，链上资产的保护主要集中在法律保护和技术安全保护两个方向。

在相关法律文件中，最高人民法院和国家发展改革委联合印发了《关于为新时代加快完善社会主义市场经济体制提供司法服务和保障的意见》，并在第六条中，明确数字货币保护、网络虚拟财产、数据等新型权益保护，充分发挥司法判决对产权保护的引导作用。

随着黑客攻击事件的频繁发生，链上资产安全问题越来越受到考验。 上海申豪律师事务所合伙人孙军律师认为，链上资产是受法律保护的，而黑客，无论其目的是什么，盗窃资产本身就是违法的。 用户维权时，项目方应承担相应的法律责任，确保用户资产安全。

笔者在回顾以往案件的审理内容时发现，例如在国内首例比特币侵权纠纷案中，法院认定比特币具有财产作为权利客体所要求的价值性、稀缺性和可处分性，应确定其虚拟财产属性。

因此，当面临链上资产被侵害的问题时，寻求法律帮助和报案也是保护资产安全最有效的方式。 毕竟，不能指望每个黑客都是白帽黑客。

当然，由于技术问题、交易的全球化和黑客的秘密手段，加密货币被盗背后的恢复路径肯定比普通事件的路径更长，因此技术手段上的防御必须更加重要。 重要的选择。

关于跨链桥的安全问题是单一项目方的问题还是普遍性的问题，链得得专访了欧凯云链研究院高级研究员王海峰。 他认为现在还很难下定论，但跨链桥接技术早期确实存在不确定性。

欧凯云链大师半年报数据显示，今年上半年，DeFi领域至少发生50起安全事件，平均每3.6天发生一起。 Poly盗窃事件，因为涉案金额巨大，引起了业界的关注，也更能暴露出DeFi世界的通病，引发我们的思考。

链得得采访慢雾安全团队表示，目前这是单个项目方的合约代码存在问题，但不排除其他项目方可能受到类似攻击。

随着 DeFi 世界的不断繁荣，合约协议和机制设计变得越来越复杂，不可避免地会出现更多的安全漏洞。 一旦发生Poly型币被盗事件，虽然会给项目方带来打击，但直接受害的还是广大用户。

因此，Okey云链研究院高级研究员王海峰建议：在筛选DeFi项目时，需要仔细阅读项目白皮书，关注智能合约是否通过了权威机构的审核。 一旦发生盗币事件，欧凯云链拥有专业的区块链安全案件研判团队，可以协助警方侦查追回被盗资产。

随着DeFi世界的不断繁荣，合约协议和机制设计必然会越来越复杂，也必然会出现更多的安全漏洞。 从频发的安全事件来看，要想避免类似的攻击性事件发生，提升行业安全水平，需要全行业的共同努力。 社区和团队需要将更多的精力投入到早期的合约开发建设中，打好“地基”。

王海峰表示，Okeyyun Chain也一直在思考如何提升行业应对区块链安全事件的能力，推出了Okeyyun Chain Master、Chain Sky Eye等区块链大数据产品。 链上大师来帮助DeFi参与者用数据指标更理性量化地评价DeFi协议usdt被盗如何处理，链上天眼帮助用户规避洗钱、盗币等安全风险。

慢雾安全团队对下一步提升行业安全的建议是：

1、项目方需要在技术层面保证代码的可用性和完整性，需要做好上线前的测试工作，包括单元测试和回归测试；

2、做好上线前的安全审计工作，包括但不限于合约安全审计、前端安全审计、服务端安全测试等。

Poly Network 事件对被盗币的响应速度较慢，这给了我们一个很好的安全预警机制。 慢雾安全团队认为，监控目标项目智能合约异常，尤其是涉及资金安全的操作，是一项非常成熟的技术。 然而，在许多情况下，监测应急响应会有时间滞后。 这种时间滞后往往令人绝望。 反应过来后，资金可能已经被盗。 如果完全自动化去屏蔽，就会涉及到智能合约权限过高的问题。 是一个平衡点。

因此，慢雾安全团队认为更现实的做法是及时监控预警usdt被盗如何处理，然后尽快人工干预，利用各种“限制权限”止损，并开始分析攻击原因/漏洞，以及后续溯源分析。 攻击/漏洞分析是为了厘清问题，溯源分析是为了刻画黑客，为定位黑客、联系黑客提供充分依据。

毋庸置疑，未来一段时间内，黑客肯定会把注意力集中在DeFi和跨链桥上，安全问题将在短时间内持续影响区块链的安全。