盜取?6?億美元卻悉數(shù)奉還，這場史上最大規(guī)模的「數(shù)字劫案」迎來大反轉(zhuǎn)

愛范兒

+ 關(guān)注

2022-05-17 16:41

678次閱讀

盜取?6?億美元卻悉數(shù)奉還，這場史上最大規(guī)模的「數(shù)字劫案」迎來大反轉(zhuǎn)

「大劫案」一直是各路警匪片、懸疑片導(dǎo)演最愛的話題，因?yàn)橛^眾光看到劫案金額，故事的情節(jié)、矛盾就已經(jīng)呼之欲出，所以歷史上著名的「大劫案」基本上都被改編成影視作品。

不過想要改變最近發(fā)生的一起「大劫案」，可能會難倒一眾名導(dǎo)。

它涉及的金額巨大—— 6.1 億美元；發(fā)生得讓人措手不及——從開始到結(jié)束不過半個小時；情節(jié)走向更是曲折離奇——不到一周，「小偷」將贓款幾乎盡數(shù)歸還，還被邀請擔(dān)任安全專家。

而發(fā)生的一切，都被記錄在了區(qū)塊鏈上，永久地保存下去。

有史以來規(guī)模最大的加密貨幣盜竊案

在盜竊案發(fā)生之前，很少有人會在網(wǎng)絡(luò)上注意到 Poly Network 平臺。

Poly Network 和大多數(shù) DeFi（Decentralized Finance，去中心化金融）交易平臺一樣，為用戶提供借貸、交換或交易加密貨幣的服務(wù)，目前累計(jì)貿(mào)易總額已達(dá) 109 億美元。

這里提到的 DeFi 是一種基于區(qū)塊鏈技術(shù)的新應(yīng)用。

過去放貸、借貸、儲蓄等金融服務(wù)往往需要銀行等作為中間機(jī)構(gòu)作信用背書，而 DeFi 則利用區(qū)塊鏈的智能合同，取代了這些金融機(jī)構(gòu)，實(shí)現(xiàn)用戶間點(diǎn)對點(diǎn)的交易。

少了中間機(jī)構(gòu)的監(jiān)管，既意味著更低的中介手續(xù)費(fèi)和更自由的資金流轉(zhuǎn)，也意味著更高交易風(fēng)險。

然而，就在 Poly Network 剛慶祝完自己的年貿(mào)易額突破 100 億美元不久，意想不到的事情發(fā)生了。

8 月 10 日的 17:55，Poly Network 發(fā)現(xiàn)有人利用智能合約轉(zhuǎn)移了價值超過 2.6 億美元的數(shù)字資產(chǎn)，十分鐘后攻擊并未停止，黑客繼續(xù)轉(zhuǎn)移了 8508 萬個 USDC，損失了近 3.5 億美元。

然而這一切還未結(jié)束，當(dāng)日 18:08 黑客繼續(xù)轉(zhuǎn)移了價值約 2.5 億美元的數(shù)字資產(chǎn)，不到半個小時的時間里沒有一絲硝煙，6.1 億美元的數(shù)字資產(chǎn)就此不見蹤影。

相比黃金大劫案、火車大劫案，這場速戰(zhàn)速決的「加密貨幣大劫案」少了一分緊張刺激，更多的是疑惑和不解——賬戶上的數(shù)字瞬間消失，只在區(qū)塊鏈上留下幾段交易記錄。

「尊敬的黑客……」

Poly Network 在當(dāng)晚急忙發(fā)布了被盜公告，并暫停了網(wǎng)站的交易服務(wù)。Poly Network 稱他們已經(jīng)聯(lián)系了 USDC、USDT 等穩(wěn)定貨幣發(fā)行商凍結(jié)被盜的貨幣，并且將會采取法律行動追討這批巨款。

這是一次不同尋常的偷盜行動，根據(jù)區(qū)塊鏈復(fù)雜的加密算法，想要竊取管理者的私鑰轉(zhuǎn)移資金是一件非常困難的事。

如果用戶在單一區(qū)塊鏈（比特幣、以太坊等）上進(jìn)行交易，安全性還是很高的。

問題就在于，Poly Network 提供了跨區(qū)塊鏈的轉(zhuǎn)移交易，例如用戶可以通過跨鏈交易將以太坊的資金轉(zhuǎn)移到 USDT 等別的區(qū)塊鏈上，這給黑客留下了可乘之機(jī)。

區(qū)塊鏈安全公司慢霧科技在盜竊案發(fā)生后給出了分析，其稱黑客利用了 Poly Network 在跨鏈交易時合約存在的函數(shù)漏洞，將正常的交易地址修改成了自己的地址，實(shí)現(xiàn)資金的轉(zhuǎn)移。

這就像是信件在被郵遞前，被偷偷修改了收件人的地址，「小偷」不需要劫持郵遞車便可以在家里靜候它的到來。

按照常規(guī)「大劫案」的故事發(fā)展，接下來應(yīng)該是警方夜以繼日的偵查、與歹徒斗智斗勇最后討回贓款，然而劇情的走向卻開始走偏。

在盜竊案發(fā)生的第二天，一位自稱是黑客的匿名人士通過以太坊的交易記錄向 Poly Network 喊話，稱他們「準(zhǔn)備歸還」這筆史上被盜最大數(shù)額的數(shù)字贓款。

來自吃瓜群眾的熱心提醒

這還不是他們的第一起「騷操作」，在盜竊案發(fā)生的一小時后，有位「熱心」的觀眾提醒黑客他的資產(chǎn)正在被凍結(jié)，隨即便收到了黑客的慷慨回禮——價值 4.2 萬美元的數(shù)字貨幣。

顯然，這個「劫匪」并不一般。

「我不在乎錢」

圖片來自：Ft.com

不管是礙于法律追查的壓力、貨幣被凍結(jié)導(dǎo)致難以贓款轉(zhuǎn)移，還是發(fā)自真心的「善意」，黑客表示他們只是想用這種極端的方式提醒 Poly Network 存在漏洞，并愿意和他們保持溝通，逐步返還被盜的貨幣。

正所謂「浪子回頭比特幣不換」，盡管這聽起來像是鱷魚流下的一滴真摯眼淚，但信奉自由主義的加密貨幣機(jī)構(gòu)還是選擇了相信他們。

Poly Network 稱呼他為「白帽先生」——和黑客相對立，是信息安全的保衛(wèi)者。

基于善意的溝通也很快得到回應(yīng)，從 8 月 11 日開始，「白帽先生」陸續(xù)向 Poly Network 提供的三個錢包轉(zhuǎn)移資金，在盜竊案發(fā)生的 48 小時內(nèi)，他們已經(jīng)歸還了價值約 5.8 億美元的資產(chǎn)。

其中未歸還的 3340 萬美元是穩(wěn)定貨幣 USDT（與美元直接掛鉤，采用 1:1 固定兌率），在被盜后第一時間遭到了發(fā)行公司 Tether 的凍結(jié)，具體怎么歸還需要雙方的進(jìn)一步溝通。

Poly Network 在社交媒體上稱他們這段時間正積極地與「白帽先生」溝通漏洞，還和更多的安全機(jī)構(gòu)接觸，一起對平臺存在的問題進(jìn)行修補(bǔ)。

為了「感謝」他們的幫助，Poly Network 還宣布愿意給予「白帽先生」50 萬美元的獎金，故事似乎朝著大團(tuán)圓的方向發(fā)展。

對于這份「答謝禮」，「白帽先生」并沒有第一時間選擇接受，而提議將它作為技術(shù)團(tuán)體的漏洞獎金，鼓勵更多的人一起維護(hù)區(qū)塊鏈交易的安全。

誰也沒想到這個由「技術(shù)」和「金融」組成的高地最終會被「道德」所占領(lǐng)，翹起 6.1 億美元巨款的，竟然是雙方的信任，這份信任并沒有任何中介擔(dān)保，沒有銀行，沒有交易所，沒有區(qū)塊鏈的加密算法。

這一絲誠信，也讓這個完全由代碼構(gòu)成的金錢世界多了一點(diǎn)屬于人的溫?zé)幔M管誠信的背后可能有著復(fù)雜的驅(qū)動力。

Poly Network 在 8 月 17 日回應(yīng)了「白帽先生」的提議，無論「白帽先生」選擇如何處理獎金，他們都會尊重他的決定，并且誠意邀請他擔(dān)任 Poly Network，無意追究他的法律責(zé)任。

至于是否要從黑暗走出來，接受對手拋出的橄欖枝，「白帽先生」還未給出回應(yīng)。

數(shù)字資產(chǎn)「易盜不易花」

盡管這場「大劫案」以近乎大團(tuán)圓的結(jié)局落幕，DeFi 市場卻從未平靜。

區(qū)塊鏈公司 Clearmatics 的 Tim Swanson 表示，Poly Network 事件在 DeFi 世界里，「只是一個普通的星期二」。

根據(jù)加密數(shù)據(jù)公司 Chainlysis 的數(shù)據(jù)顯示，在 2020 年 DeFi 交易僅占所有加密貨幣活動的 6%，卻占了所有數(shù)字資產(chǎn)盜竊案的三分之一。

《金融時報》的報道指出，由于 DeFi 用智能合同消除了人工中介，一些開發(fā)人員認(rèn)為這些軟件程序創(chuàng)建的規(guī)則構(gòu)成了「法律」，但律師團(tuán)體并不認(rèn)同。

被卷入這次搶劫風(fēng)波的用戶很難用法律保護(hù)自己的財(cái)產(chǎn)安全，因?yàn)?Poly Network 沒有規(guī)定任何條款來管理，也沒有提到任何一個法律主體。

溫情的結(jié)局并不能掩蓋這場大規(guī)模「搶劫案」的可怕，它揭示了 DeFi 世界脆弱的數(shù)據(jù)安全，這就像是一個堆滿金子的礦場，卻只有一把生銹的鎖頭守護(hù)著大門。

美國商品期貨交易委員會的專員稱 DeFi 就像是一個「霍布斯式的市場」，沒有監(jiān)管的自由交易充斥著骯臟和野蠻。

不過這場風(fēng)波暴露的也不全是壞事，Chainlysis 認(rèn)為加密貨幣容易遭到盜竊，但相比實(shí)體資產(chǎn)卻更難實(shí)現(xiàn)轉(zhuǎn)移。

越來越多的加密貨幣社區(qū)正在不斷地提高加密貨幣的透明度，在攻擊發(fā)生后，Twitter 等社交平臺上就充斥著各種消息追蹤黑客的資金流動。

由于每一筆交易都會記錄在區(qū)塊鏈上，黑客幾乎不可能做到悄無聲息地資產(chǎn)轉(zhuǎn)移，因?yàn)槊恳淮尾僮鞫紩粡V播給所有用戶。

當(dāng)整個市場的注意力都聚焦在這個「小偷」的身上，繼續(xù)逃跑顯然不會是最明智的選擇，但這種自發(fā)的媒體監(jiān)管能代替法律與法規(guī)嗎？這是每個投資者和投機(jī)者需要思考的問題。

「白帽先生」在公開承諾退款后，曾經(jīng)通過以太區(qū)塊鏈的交易留言，接受了 Elliptic 的首席研究員 TomRobinson 的采訪。

或許我們可以節(jié)選一些這場不那么正經(jīng)的明暗對話，作為這場轉(zhuǎn)瞬即逝、但被永遠(yuǎn)記錄在區(qū)塊鏈上的風(fēng)波之結(jié)束語。

Q：為什么當(dāng)黑客

A：好玩 :)Q：為什么攻擊對象是 Poly Network

A：因?yàn)榭珂溄灰鬃罱芑餛：為什么這么復(fù)雜？

A：Poly Network 是一個不錯的平臺，它是黑客可以享受的最具挑戰(zhàn)性的攻擊之一。我必須迅速擊敗任何內(nèi)部人士或黑客，我把它當(dāng)作是一種獎勵 :)Q：為什么要給人 4.2 萬美元的小費(fèi)

A：我感受到了以太社區(qū)的溫暖。當(dāng)時我正忙著調(diào)查 HECO 的問題和調(diào)試我的腳本，我認(rèn)為網(wǎng)絡(luò)問題導(dǎo)致我不能存款，（我處在復(fù)雜的代理之后，所以我想跟這個家伙分享我的善意。Q：為什么要退款？你是膽小鬼嗎?

A：隨便你怎么想 :)當(dāng)你評判別人時，你不是在定義他們，而是在定義你自己。我已經(jīng)享受了我最關(guān)心的事情：黑客和指導(dǎo)。很少有黑客能夠理解 DeFi 的安全情況，你會看到很多黑客，但他們中的大多數(shù)并不像一個真正的黑客那樣令人愉快。一些愚蠢的代碼導(dǎo)致了巨大的損失，這并不具有挑戰(zhàn)性，而是像青春期的一次叛逆。我承認(rèn)，黑掉 Poly Network 并不像你想象的那樣花哨，但我確實(shí)從這個項(xiàng)目中體驗(yàn)到了新的東西。我想說的是，找出 Poly Network 結(jié)構(gòu)中的盲點(diǎn)將是我人生中最美好的時刻之一。隨著加密世界的發(fā)展，我已經(jīng)有了足夠的資金，我有很長一段時間都在尋找生活的意義。我希望我的生活可以由獨(dú)特的冒險組成，我喜歡學(xué)習(xí)和黑客的一切，以對抗命運(yùn)的考驗(yàn)。說實(shí)話，我確實(shí)有一些自私的動機(jī)，想通過利用巨大的資金來做一些很酷但不會有害的事情，就像 DAO 的想法。還是為之歡呼吧！

本文來自微信公眾號 “愛范兒”（ID：ifanr），作者：黃智健，36氪經(jīng)授權(quán)發(fā)布。