黑客如何利用curve和uniswap洗钱

2020年9月25日，社交媒体报道说，一些用户托马托斯金融偷一万块钱。诈骗的主要方式是通过空投诱导用户批准权限，然后直接转为替代币。空投是个骗局。我们还没有收到币号探员。番茄酱.fi这是一个SUNFLOW的挖矿项目，怀疑是来自一个中国团队。

经与多家安全公司核实，截至发稿时，已有不少用户托马托斯金融偷了稳定的币，损失惨重。

吴说区块链采访了其中一个遭遇托马托斯金融黑客币的用户（以下简称用户a）回顾了整个事件

登录到tomatos的用户。事发前几天授权使用imtoken钱包。北京时间2020年9月26日23:00左右，黑客登录imtoken并将其存储在Dai中托马托斯金融傣族合同称为傣族合同。只要钱包里有戴，就会被黑客转移。从戴到钱包再到黑客大约需要10分钟。钱包背景是无限的。一个用户损失了近1350000 Dai。

事件发生后，用户发现托马托斯金融twitter帐户已经不存在，但电报仍然开放。

第一个被曝光的黑客的地址是：

0x917a417D938B9F9E6ae7F9e5253FB6DE410343e3

回到整个过程，黑客怎么能用DeFi洗币呢？

1戴相龙是唯一一款不会被列入黑名单、不能被冻结的稳定币。黑客将用户a钱包的700000 Dai、600000 Dai和5000 Dai分别转移到地址：0x917A417D938B9E6AE7F9E5253FB6DE410343E3
；

哈希记录如下：

0xc16a25e3745c6025363b2b607e9cb0105bab85f1cee225a52bdddd4fe6dd27621

0xa8aaf959d79805e19e4aebd0ba279cb2078b35b5ec3a38bf01549651f116b512

0x5221c09d7a15fb6329f44654664e0a715bbd4bd33214606791399eefae8c53bdb

2黑客将Dai转移到Uniswap，将部分Dai转换成500358.72 USDT，然后通过Uniswap V2:Dai USDT LP交易向494057.53 Dai和500358.72 USDT提供AMM流动性，并赚取手续费。

3黑客将手中所有稳定的币替换为以太坊，并通过龙卷风现金清洗。

；

事件发生后，用户a很快得到了业界的支持，并已经报警并确定了随后的黑客肖像。吴说，区块链还将继续跟踪番茄.fi有关活动的进展将在第一时间详细汇报。

27日，ku币的币窃贼还通过Uniswap将币小屋交易成ETH。中心化的交易所，如Matcha和币，冻结了偷币的人的部分资金。因此，他们正在寻求去中心化币的交易，下一步是实施混合币。去中心化的交易所无权控制此类恶意行为。有传言称，美国证交会已对Uniswap展开调查，有观点认为，去中心化的交易所在这起黑客事件中的作用可能引起监管部门的担忧。（作者：21研究；编辑：吴科林）