在 DeFi 的世界里，借助于智能合约，个人创建金融产品的门槛被大幅降低。人们可以根据自己的需求，自由地设计自己的金融产品，并通过组合实现方便地交易。
目前，随着 DeFi 协议的组合愈发丰富，涌现出大量“货币乐高”的协议，从以太坊生态中的初代去中心化交易所 Uniswap，到二代进化版的 Sushiswap，再到币安智能链生态中的 PancakeSwap，但组合过程中的风险也逐渐凸显出来。
5 月 2 日，DeFi 协议 Spartan Potocol 遭到黑客攻击，PeckShield 「派盾」通过追踪和分析发现，Spartan Potocol?遭到闪电贷攻击，损失 3,000 万美元。
Inverse Finance回应被盗：价格预言机被操纵，将确保用户得到100%补偿:4月3日消息，DeFi借贷协议Inverse Finance在官方推特回应被盗事件，称其货币市场受到了对Sushiswap上 INV/ETH 价格预言机的资本密集型操纵，导致 INV 价格大幅上涨，随后攻击者得以借入1560万美元的 DOLA、ETH 、WBTC 和 YFI。
对此，该项目本身将提出计划确保所有受影响的钱包都得到 100% 的补偿，并且没有计划或需要铸造额外的 INV 代币。同时，该项目鼓励价格操纵者通过 Twitter DM 或 Discord 联系并讨论慷慨的赏金以换取借入的资金。[2022/4/3 14:01:40]
斯巴达协议 (Spartan Protocol)是一个资产流动性项目，旨在解决现有 AMM 协议以及合成资产所出现的各类问题。斯巴达协议的流动性池是此协议的核心，所有一切系统内的相关应用都离不开流动性池的支持。SpartanSwap 应用了 THORCHAIN 的 AMM 算法。此算法采用流动性敏感资费（Liquidity-sensitive fee）来解决流动性冷启动以及滑点问题。
币安智能链上借贷协议Neko Network遭攻击，疑似400万美元被盗:8月13日消息，币安智能链（BSC）上借贷协议Neko Network遭攻击，疑似400万美元被盗。攻击者利用协议漏洞以用户名义抵押资产产生借贷，并将借得资金直接发送至攻击者自己地址，Neko Network借贷功能已暂停，所有资产池已冻结以避免更多攻击发生，由于时间锁的设定，需等待24小时才能开放资金池，让用户提出池内资金。Neko Network是由零息货币市场协议Maze Protocol团队开发的产品。[2021/8/13 1:52:23]
以下是攻击过程：首先攻击者从 PancakeSwap 中借出闪电贷 10,000 WBNB；
第二步，攻击者在出现漏洞的 Spartan 兑换池中，分五次将 WBNB 兑换成 SPARTAN，用 1,913.172376149853767216 WBNB 分别兑换了 621,865.037751148871481851 SPARTA、555,430.671213257613862228 SPARTA, 499,085.759047974016386321 SPARTA, 450,888.746328171070956525 SPARTA, 和 409,342.991760515634291439 SPARTA。此时攻击者手撰 2,536,613.206101067206978364 SPARTA 以及 11,853.332738790033677468 WBNB, 攻击者将这些 Tokens 注入流动池中提供流动性，铸造出 933,350.959891510782264802 代币 (SPT1-WBNB);
动态 | 日本加密交易所相继出现IDN攻击 提醒用户注意密码被盗:据Coinpost消息，近日以日本加密货币交易所为目标的钓鱼欺诈事件频出，一些诱导和非法广告伪装成日本国内的交易所进行IDN攻击。GMO Coin和remixpoint提醒用户，小心非法广告取用户交易所ID及密码等重要信息。[2019/3/11]
第三步，攻击者运用同样的手法，在出现漏洞的兑换池中分十次将 WBNB 兑换成 SPARTAN，用1,674.025829131122046314 WBNB 分别兑换了 336,553.226646584413691711 SPARTA, 316,580.407937459884368081 SPARTA, 298,333.47575083824346321 SPARTA, 281,619.23694472865873995 SPARTA, 266,270.782888292437349121 SPARTA, 252,143.313661963544185874 SPARTA, 239,110.715943602161587616 SPARTA, 227,062.743086833745362627 SPARTA, 215,902.679301559370989883 SPARTA, 和205,545.395265586231012643 SPARTA ，总计 2,639,121.977427448690750716 SPARTA。
动态 | SIM替代卡会导致用户数字资产被盗:据cointelegraph消息，此前美国数字货币投资者Michael Terpin指控电信巨头AT＆T在其个人账户数字货币被盗事件中有欺诈行为和重大过失，近日，他在接受媒体采访时透露了更多细节，Terpin认为黑客通过贿赂电信内部工作人员，拿到了自己SIM的替代卡，进而获取自己的账户信息并实施盗窃的。他还指出，SIM卡是窃贼获取目标对象的个人信息最容易的方式，电信公司应该为公司内部管制不严负责。[2018/8/18]
第四步，攻击者将 21,632.147355962694186481 WBNB 和所有的 SPARTA，即上面三步中所获的? 2,639,121.977427448690750716 SPARTA 转入流动池中，来抬高资产价格。
分析 | Bancor交易所被盗或因其智能合约可升级:昨日Bancor被盗价值超过1200万美元的代币。据ETHNEWS报道，黑客显然是通过允许Bancor更新智能合约的缺乏抵抗力的钱包来实现的。 Bancor的钱包能够更新智能合约，这一事实本身就是Bancor协议存在争议的一个方面，这是因为区块链技术的一个关键卖点是其不可改变的性质。与此同时，Bancor仍坚持其协议，并赞扬由于其中心化力量，能够节省的1亿美元的BNT。Bancor首席技术官Yudi Levi表示，尽管建立了中心化的控制，该公司仍选择拥有可升级的智能合约，是为了避免像以太坊的DAO黑客这样的危机。Bancor曾迅速删除包含其首席技术官文章的推文。在文章中Levi指出，可升级的智能合约仅在试用阶段存在，然而此次攻击是在其协议发布后一年多后发生的。[2018/7/11]
第五步，烧毁从第二步所获得的 933,350.959891510782264802 代币 (SPT1-WBNB)，提回流动性，由于流动池处于通胀状态，共计烧毁 2,538,199.153113548855179986 SPARTA 和 20,694.059368262615067224 WBNB，值得注意的是，在第二步中，攻击者仅兑换了 11,853.332738790033677468 WBNB，此时攻击者获利 9,000 WBNB；
第六步，攻击者在第四步中注入 1,414,010.159908048805295494 pool token 为流动池提供流动性，随即启动烧毁机制获取2,643,882.074112804607308497 SPARTA 和21,555.69728926154636986 WBNB。
攻击者调用了流动性份额函数 calcLiquidityShare() 查询当前余额，进而操纵余额套利，正确的操作需使用 baseAmountPooled/tokenAmountPooled 状态。
DeFi 系统的运行需要由智能合约进行保证，这就要求智能合约的代码进行过缜密的审核。一旦智能合约中存在着任何漏洞，它就可能成为黑客攻击的对象。
在传统的条件下，黑客们攻击金融系统时所凭借的主要是他们在计算机技术上的优势，而在现有的 DeFi 生态下，由于各链、各应用之间的互通性还并不是那么好，因此跨链、跨应用之间的套利机率可能较大。这时，即使一个计算机本领不那么强的人，只要他有足够的金融知识和足够的市场嗅觉，就也可以成为黑客，对 DeFi 系统进行攻击。
黑客通过区块链上的闪电贷，以很小的成本借出大笔资金，然后用这笔资金去造成一些数字资产的价格波动，再从中渔利，最初兴起于以太坊，随着币安智能链等 CeFi + DeFi 生态上的资产愈发丰富，黑客也在随时伺机待发。
PeckShield 「派盾」相关负责人表示：“攻击手法仍换汤不换药，只是从一条链转到了另一条链，DeFi 协议开发者应在攻击发生后，自查代码。如果对此不了解，应找专业的审计机构进行审计和研究，防患于未然。”
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。