Poly Network被盜6.1億美元，幣圈「乞丐」竟為黑客出謀劃策_POL:NET

8月10日晚間，跨鏈互操作協議PolyNetwork突遭黑客攻擊，在PolyNetwork現已集成的三大主流生態上，黑客分別盜走了2.5億、2.7億、8500萬美元的加密資產，損失總額高達6.1億美元。

史上最大黑客事件

6.1億美元是什么概念？如果按照事件發生時的相關資產的市場價格計算，這不僅僅是DeFi歷史上涉案金額最大的黑客事件，更是整個加密貨幣歷史上涉案金額最大的黑客事件，超過了鼎鼎大名的Mt.Gox事件，以及2018年的Coincheck大案。

如果僅在DeFi市場內部比較，Odaily星球日報此前曾做過一次不完全統計，2020年DeFi領域內共發生了四十余起起攻擊事件，損失金額約1.774億美元，PolyNetwork這次事件的數字足足是其三倍有余。

關于本次事件發生的具體原因，Odaily星球日報已詢問了PeckShield、慢霧、Certik、成都鏈安等多家知名安全公司，但截至發文，各大公司均表示仍在分析事件邏輯，我們將在得到有效回復后第一時間更新本文內容。

Opside ZK-RaaS現已支持ETH/BSC/Polygon測試網等L1選項:8月14日消息，據官方消息，ZK-RaaS平臺OpsideOpside 宣布發布Rollup LaunchBase Alpha版本，現已上線測試網。

該版本中，Rollup L1主鏈選項新增支持 ETH/BSC/Polygon 測試網，并提供多種 DA / shared sequencer 等模塊化組件。此外，Rollup LaunchBase還支持添加多種Infra as a Service選項供項目方進行初期選擇，包括Dex as a Service, Oracle as a Service, NFTmarket as a Service, DID as a Service等，可選項涵蓋 iZUMi、Star Protocol、Space ID、Supraoracle等。[2023/8/14 16:24:42]

TheBlockResearch的分析師IgorIgamberdiev則表示，PolyNetwork遭到攻擊的根本原因是密碼學問題，這可能類似不久前剛剛發生的Anyswap黑客事件——在那起事件中，黑客通過合約漏洞成功推倒出了私鑰，最終竊走了790萬美元的資金。

孫宇晨回應外媒稱“支持以太坊硬分叉是為賺快錢”：Poloniex不對ETH交易收取費用，完全是為公共利益:8月8日消息，針對外媒Crypto Slate報道稱，Vitalik Buterin在韓國區塊鏈周期間的一次非公開新聞發布會上表示，人們推動以太坊硬分叉以保留PoW“只是想快速賺錢”。Vitalik表示，他只看到社區內部對權益證明的支持，并指出大多數想要保留工作量證明的人都是以太坊生態系統的“局外人”。Crypto Slate稱，孫宇晨最近宣布通過在他的Poloniex交易所上架兩個新代幣來支持以太坊合并后的硬分叉，代幣將被命名為ETHS和ETHW，分別與PoS和PoW相關，GPU礦工在合并后繼續挖礦以太坊。

據報道，一些中國礦工已與孫宇晨簽約成為這條新鏈的一部分。此外，孫宇晨正在尋求激勵分叉以太坊的舉措，以在PoW鏈中保留當前網絡的一個版本。如果該鏈成為現實，他將提供高達100萬個ETHW來建立一個開發者社區。Crypto Slate強調稱，Tron區塊鏈的創始人孫宇晨在許多方面無疑是以太坊生態系統的局外人。Vitalik還提到硬分叉的支持者“擁有交易所，只是想快速賺錢”。

孫宇晨回應稱，不確定Vitalik Buterin是否真的這么說。但他澄清，Poloniex支持ETH硬分叉完全是為了公共利益，而不是為了盈利。Poloniex目前不對ETHS/ETHW交易收取任何費用。如果硬分叉成功，以太坊上的每個人都將獲得ETHW代幣，無需任何預挖。Vitalik將獲得與我和所有人完全相同的ETHW比例。他只支持PoW應該作為合并后以太坊的共識機制存在。[2022/8/8 12:09:27]

安全研究員MuditGupta在檢查了?PolyNetwork的合約后給出了更為細致的分析。Mudit?指出，DeFi?智能合約的執行往往需要一個多簽地址來簽署命令，但?PolyNetwork并沒有使用多簽，似乎某個超級權限地址可以控制所有的資金。黑客可能是通過傳統的黑客手段獲得了該地址的私鑰，也有可能是與團隊內部人員勾結完成了攻擊，這需要徹底的調查。

NFT衍生工具公司Bliv.Club宣布完成種子輪融資，Polygon聯合創始人Sandeep Nailwal等參投:1月11日消息，NFT衍生工具公司Bliv.Club宣布完成種子輪融資，Polygon聯合創始人Sandeep Nailwal等參投。

據悉，Bliv.Club旨在通過各種新時代工具減少進入NFT行業的壁壘，并通過衍生品促進NFT生態系統的流動性。Bliv將提供一個衍生品市場，允許普通人以小規模參與NFT市場。（EconomicTimes.IndiaTimes）[2022/1/11 8:41:22]

PrimitiveVentures創始合約人DoveyWan也表示：“PolyNetwork和O3都沒有完全開源，所以這很有可能是一次內部攻擊事件。”

圍堵與逃竄

20:38，PolyNetwork官方于推特確認了攻擊事件，并貼出了黑客在不同鏈上的具體地址。官方同時表示，為了追回失竊資金，PolyNetwork?將采取法律行動，敦促黑客盡快還款，希望相關鏈上的礦工及各大交易所伸手援助，共同阻止黑客地址所發起的交易。

加密風投基金PolychainCapital已出售所持全部MKR代幣1,315枚:加密風投基金PolychainCapital已于兩日前出售所持MKR代幣1,315.93枚。截至目前，該地址共有48,089枚ETH以及570枚yearn.finance代幣YFI。[2020/12/6 14:16:52]

黑客地址：

以太坊地址：0xC8a65Fadf0e0dDAf421F28FEAb69Bf6E2E589963；

BSC地址：0x0D6e286A7cfD25E0c01fEe9756765D8033B32C71；

Polygon地址：0x5dc3603C9D42Ff184153a8a9094a73d461663214。

在PolyNetwork發出呼吁之后，各方KOL紛紛發聲支援，試圖阻止黑客洗錢。

趙長鵬于推特表示：“我們已獲悉PolyNetwork發生的黑客事件。雖然沒有人能夠控制BSC或以太坊，但我們正在與所有安全合作伙伴協調，我們將盡已所能，主動提供幫助。”

陽光鏈Apollochain（Apl）登陸Xbrick交易平臺:陽光鏈是基于物聯網和智能合約的去中心化能源交易平臺。通過陽光鏈來減少傳輸消耗，普通人使用的電費將更低，發電站的收益將更高。從壟斷到自由市場，Apollochain用區塊鏈技術手段實現能源交易的“多中心化”，并加速電力自由的市場化，項目自4月公開至今，在澳大利亞和美國等地獲得了極大關注。[2018/5/27]

OKExCEOJay也表示：“OKEx已在關注此案，我們正在觀察貨幣的流動，并將盡最大努力來協助處理該事件。”

另一邊，穩定幣USDT的發行方Tether更是快速響應，直接凍結攻擊黑客以太坊地址中3300萬USDT。

黑客通過Curve將近1億USDC兌換為DAI。

不過，雖然已有多方參與了針對黑客的堵截，但黑客仍在通過各種手段快速混幣，包括在以太坊上利用Curve混幣逾9700萬美元，以及在BSC上利用Curve分叉項目EllipsisFinance混幣近1.2億美元。

大型乞討現場

失竊金額如此之大，受害者數量自然也少不了。

就目前情況來看，遭受此次事件影響的主要群體是通過跨鏈聚合器O3Swap進行挖礦的用戶，O3Swap本身也因此暫停了跨鏈相關服務。在事件發生之前，O3Swap在Polygon等鏈上的穩定幣池年化可超過20%，一些短期單幣池的年化可達百分之數百，在DeFi挖礦收益日趨下行的今天，這一年化水平還是很具吸引力的。大量“DeFi農民”沖著高收益而來，卻最終落得了個“血本無歸”。

而之所以PolyNetwork被攻擊，O3Swap用戶遭殃，是因為O3Swap的跨鏈功能系基于PolyNetwork搭建。事實上，在PolyNetwork官方確認被黑之前，社區之內的主要猜測也是O3Swap合約被黑客攻破。

在以往DeFi被盜、用戶求助無門的情況下，不少人會選擇向黑客的地址發送一筆交易，留言述說這是自己的血汗錢，懇求黑客歸還資金。而這一次，許多“看熱鬧不嫌事大”的旁觀者卻讓事情“變味”了。

在某位吃瓜群眾“提示指導”黑客其USDT已被列入黑名單，并被黑客“回禮”了13.5ETH之后，更多原本與本次事件無關的人也開始加入了這場大型“乞討”之中，通過“支持”黑客尋求打賞，甚至拜托黑客“拉盤”自己持有的幣。

“技術”一般的吃瓜群眾大多選擇直接乞討，比如說「大哥，給我點兒錢吧」或是「老板，求求你了」。

“技術”再好點的用戶會選擇講講故事，甚至讓黑客成為自己的“天使投資人”，比如說「我看中了一個項目，如果你給了我多少多少錢，待我飛黃騰達后定會加倍奉還」，或是說「自己還在上學，也有個黑客夢想，希望能夠獲得前輩的資金支持」。

“技術”最好的用戶根本不墨跡，二話不說，直接認爹。

更有甚者，一些人試圖通過告訴黑客一些可行的混幣措施，來換取黑客的代幣施舍……這種看似“好玩”的做法實則非常不可取，也是對焦急痛心的失主極大的不尊重。

追回資金，還有希望嗎？

撇開種種鬧劇，事件既已發生，各方最為關心的事情莫過于能否成功追回資產。

結合此前DeFi世界內曾發生過的多起安全事件來看，追贓并非毫無可能，比如去年的dForce及EMD事件，最終都成功追回了失竊資金。整體來看，此類事件基本上都有一個共同點——通過追蹤，黑客在現實世界的身份暴露，面臨著來自項目方及受損用戶的起訴和追責，而最終選擇主動歸還資金。

過往案例告訴我們，盡管DeFi在交互層面上已實現了去中心化，但一個個受法律保護及約束的人類才是參與DeFi的主體，因此DeFi也絕不是什么無法之地，在鏈上資產意外遭遇損失時，鏈下的法律是最有效的解決措施。

目前較好的一個消息是，慢霧安全團隊已通過鏈上及鏈下追蹤已關聯發現攻擊者的郵箱、IP及設備指紋等信息，正在追蹤PolyNetwork攻擊者相關的可能身份線索。通過慢霧合作伙伴虎符及多家交易所的技術支持下，慢霧安全團隊梳理發現，黑客初始的資金來源是門羅幣，然后在交易所里換成了BNB/ETH/MATIC等幣種并分別提幣到3個地址，不久后在3條鏈上發動攻擊。

黑客也在8月11日00:39通過一筆交易公開表示有意歸還部分資金。與此同時，黑客還提出了一個新的可能，即利用這筆資金發行一個全新代幣，并通過DAO的形式進行運作。

不過，慢霧提到的關鍵合作伙伴虎符隨后在社群內進一步回應稱，黑客只是在虎符注冊了一個沒有KYC的賬號，并轉出了少量ETH作為gas費用，并沒有資金流入虎符。最為關鍵的是，黑客在虎符的賬戶并沒有實名認證，所以能否通過其他信息成功定位黑客身份暫時仍無法確定。

稍早前，PolyNetwork官方再次通過公開信的形式向黑客喊話，強調數億美元的資金在任何司法轄區都會是特大案件，希望借此向黑客施壓，獲得與黑客溝通的機會。但截至發文，PolyNetwork仍沒有披露其他任何實質性的進展。

隨著多鏈格局的日漸穩固，跨鏈橋作為不同生態之間流動性往來的渠道，其所承擔的價值正快速膨脹。從前不久的Chainswap、Anyswap，再到今天的PolyNetwork，這一賽道已成為了黑客眼中的“香饃饃”，安全形勢日趨嚴峻，項目方、審計公司、用戶均需提高警惕。

PolyNetwork事件仍在持續發展中，后續的任何進展，Odaily星球日報均會第一時間核實、報道，還請大家保持關注。

Tags：POLOLYPOLYNETPOLY幣polyx幣怎么樣PolygonElyNet

幣贏交易所