Peckshield:2020年发生60起defi攻击，损失超过2.5亿美元

⾄只有不到10起是闪电袭击。

原题：金融创新派顿2020年数字货币反洗钱报告玩起了花哨的DeFi攻击

去中心化金融（Defi）是一个动荡的战国时代。

2020年被称为“DeFi元年”，数以百计的DeFi项目正在涌现。这些DeFi项目拥有超过100亿的虚拟货币资产，就像黑客的蜜罐。

根据peckshield发布的《2020年度数字货币反洗钱报告》，2020年10月，DeFi攻击损失3380万美元，是全年损失**的月份；11月，DeFi攻击数量达到10起，是全年发病频率**的月份。

比特币 2020年DeFi安全事件和损失统计

蜜罐引来黑客洗钱新方法

2020年，黑客将不仅关注交易所、金融钱包等聚集了绝大多数用户虚拟资产的领域，还将关注菜鸟DeFi。

由于DeFi产品基于智能合约和交互协议构建，组合玩法越来越多，代码普遍开源，资产完全在链上，产业规模增长潜力成为2020年黑客关注的焦点。

根据《paidun 2020年度数字货币反洗钱报告》，2020年，虚拟货币客户攻击事件仍呈爆发趋势，达到170起，较2018年、2019年增长300%；攻击造成的经济损失高达23.3亿美元，较2019年增长660%，较2018年增长7.2%。

虚拟货币安全事件统计⿊访客攻击

虚拟货币和访客攻击安全事件造成的经济损失统计

其中，DEFI攻击事件60起，损失超过2.5亿美元。在60个攻击中，只有不到10个是闪电攻击，包括BZX、balancer、harvest、Akropolis、cheese bank、value DeFi和origin protocol。黑客利用闪贷以极低的成本撬动大量资金，并在多个协议之间进行价格操纵或套利。

与DeFi相关的严重攻击不到5起，这是对以太坊智能合约最经典的攻击之一。**的道盗事件是攻击者利用严重攻击造成以太坊硬分叉，损失价值5000万美元。

一方面，区块链产业的蓬勃发展，不断推动行业联动和自律的完善；另一方面，技术创新衍生出新洗钱行为，给虚拟货币反洗钱带来了新的挑战。

9月26日，一家名为kucoin的交易所被盗走了价值2亿多美元的虚拟货币。事发后，库考因联系了多家中心化虚拟货币交易所（cefi）、项目、安全机构和警方，并采取了一些有效措施追查被盗资产。据库科因说，到目前为止，85%的被盗资产已被追回。

安全事件发生后，中交所和中化所及时失去了资产。虽然他们有效地冻结并追回了部分丢失的资产，但在cefi联合冻结后，黑客逐渐将被盗资产转给了包括Uniswap、kyber等在内的中国化工交易所，并逐步进行了大扫除。

此次黑客攻击开创了技术与金融洗钱相结合的先例，给虚拟货币兑换的反洗钱工作带来了新的挑战。

派克谢尔德·派登指出，过去黑客攻击交易所窃取数字货币后，只是通过货币混和等技术将窃取的虚拟资产直接送出交易所，然后通过取款获利。黑客的攻击针对的是虚拟货币市场放松对新兴领域警惕的地方，通过使用DEX逐一清理。

金融创新是一种奇思妙想

今年11月以来，闪电贷款攻击事件频发，周恩来先后4次发动闪电贷款攻击。闪贷是一种创新的金融工具，用于有效地提供大量资金，促进价值循环。然而，它经常被攻击者用来成为一只被黑客借来的鸡。

区块链上的闪贷是一种无需抵押即可借入的贷款，但贷款必须在同一区块内偿还，否则交易将失败。所以闪电贷款对于贷款平台来说基本上是零成本零风险。客户可以以这种贷款的形式以非常高的成本借钱，然后用这些钱引起一些虚拟货币的价格波动，然后从中获利。

BZX雷击

以BZX为例，攻击者通过dydx flash loan借出1万ETH，再将其中5笔作为抵押物送给500 ETH存款⼊复合物，借出112笔wbtc，第四步卖出；然后攻击者利用BZX的杠杆交易功能做空ETH买入⼤数量wbtc，从而抬高了Uniswap中的wbtc的价格；Uniswap中的wbtc价格暴涨后（价格为61.4wETH/wbtc），攻击者在第二步通过复合物卖出112个wbtc，所有wbtc都在Uniswap中卖出并返还给相应的wETH。**，攻击者偿还了闪电贷款，获利6871.41 ETH。

佩克希尔德认为，“闪电贷款是一种有意义的金融创新，是对传统金融的创新。但是，应该在安全的基础上鼓励创新，从而构建DEFI可持续发展的基石。”

针对DeFi存在的安全问题，peckshield建议在新合约上线前，对智能合约进行全面、专业的安全审计，检查各种已知漏洞；另一方面，与其他DeFi产品结合时要注意检查业务逻辑漏洞，避免交叉合同逻辑兼容漏洞；最重要的是设计一定的风控融合机制，引入第三方安全公司的威胁感知情报和数据态势情报服务，以便在第一时间应对安全风险，及时检查和阻止安全攻击。一旦遇袭，要通过联动行业各方力量，建立一套完善的资产跟踪机制。进攻结束后，我们需要检查和填补漏洞，完善防御体系。