除了防止呈现跨合约的逻辑兼容性缝隙，安全组织还主张在安全事情产生时及时排查封堵安全进犯，防止造成更多的丢失。
原文标题：《半月连发 5 起进犯，安全组织：跨链协议需排查与其他 DeFi 产品组合的事务逻辑缝隙丨巴比特调查》
撰文：Glendon
近来，两个跨链桥项目连续遭受黑客，总计丢践约 1600 万，引发了职业震动。
其中 ChainSwap 进犯事情导致超越 20 个项目代币连续被黑客「光临」，涉及范围之广，放眼整个 DeFi 范畴实属稀有。
在此之前，跨链进犯事情屈指可数。但在短短半个月内，已呈现 5 起安全事情，丢失超越 1700 万美元。跨链进犯显着增多，这是否意味着黑客正在瞄准跨链协议生态？
跨链协议连续产生进犯事情
7 月 11 日清晨，跨链财物桥项目 ChainSwap （ASAP）因其智能合约的一个关键缝隙遭受黑客进犯，丢践约 800 万美元。
ChainSwap 是一个用于智能链的跨链财物桥和应用程序中心，答应项目在以太坊（ETH）、币安智能链（BSC）和火币生态链（HECO）之间完结无缝桥接。
因而，许多与其合作在以太坊和币安智能链之间连接代币的项目都遭到了涉及。据了解，超越 20 个项目连续被黑客「光临」，包含 OptionRoom、RAI Finance、Umbrella Network、DAOventures、DAFI Protocol、FM Gallery、Fei protocol、Fair Game、Antimatter、Unido、Unifarm、Wilder Worlds、Nord Finance、Razor 、Dafi Finance、Oropocket、Rocks、 Peri Finance 等。
依据部分项目已披露的丢失数据，链上鼓励协议 DAFI Protocol 被出售了 20 万美元的 DAFI，波卡生态预言机和猜测协议 OptionRoom 被黑客盗取 1230 万枚 ROOM 代币，DeFi 预言机 Umbrella 丢失了超 300 万枚 UMB 代币，以及 DeFi 财物办理渠道 DAOventures 被盗取 30 万枚 DVG 代币等。
严格来说，此次进犯的资金丢失放在所有 DeFi 安全事情中并不算多，但其涉及项目的范围之广，却实属稀有。
那么，ChainSwap 到底存在什么缝隙，让黑客有机可乘？
「ChainSwap 在代币跨链配额代码中存在缝隙。原本跨链桥配额由签名节点主动添加，旨在无需人工控制的状况下完结去中心化。然而，由于代码中存在一个逻辑缺点，即跨链财物只需要一个签名，而非多签，使得未被列入白名单的地址可主动添加额度。」PeckShield「派盾」告知巴比特。
简而言之，Chainswap 被进犯是由于发放的签名数量和提取时的需要的签名数量不一致，用户在请求跨链操作时得到的签名数量为多个，而提取时只需要一个签名便可经过验证。
成都链安指出，Chainswap 进犯事情中，进犯者首要在一条链上请求跨链操作，然后在取得多个签名后，屡次使用单个签名调用另一条链上的 receive 函数进行提取，然后取得多倍的代币。
「实际上，这种进犯方法很简略，进犯者仅仅简略地进行跨链请求和提取操作。」成都链安告知巴比特。
而 Chainswap 上 20 多个项目都被进犯，正是由于它们都使用了 Chainswap 存在缝隙的 factory 合约的装备。
事情产生之后，ChainSwap 表明，已经冻住 BSC 映射代币地址以过滤掉黑客地址，将对进犯前的 ASAP 持有者和 LPs 空投 1:1 的新 ASAP 代币，并将对受影响的代币施行补偿方案。
合理咱们以为此事暂时告一段落时，风波复兴，另一起进犯事情的产生将跨链生态推向了风口浪尖。
7 月 12 日清晨 1 点，去中心化跨链交易协议 Anyswap 官方发推声称，Anyswap 多链路由 v3 版别遭到进犯。
据了解，Anyswap 是一个根据 FusionDCRM 技能的去中心化的跨链交流协议，也是现在 DeFi 用户最常用的跨链工具之一。
不同于 ChainSwap，Anyswap 仅仅单个项目遭到进犯，但是在资金丢失方面，却是不遑多让。据称，V3 跨链资金池受影响，丢践约 240 万 USDC 和 551 万 MIM，总计约 800 万美元。
成都链安表明，Anyswap 被进犯的最主要原因是签名使用了重复的 R 值。如果该同一账户签名的交易拥有相同的 rsv 签名的 R 值，则黑客可以反向推导出该账户的私钥。
在进犯过程中，进犯者正是使用了这一点，经过同一账户签名的两笔拥有相同的 rsv 签名的 R 值的交易，反向推导出该账户的私钥，从而盗取该账户的资金。由于该账户在 BSC、ETH 和 FTM 上可以复用，故该账户多条链上财物被盗。
「事实上，这种进犯方法需要必定的技能手法才能完结，相比 Chainswap 进犯事情更为高档。」成都链安说。
黑客开端瞄准跨链生态？
连续两起跨链范畴进犯事情的产生，或许并非偶尔。
由于在此之前，产生在跨链协议范畴的安全事情并不多见。
2021 年的 5-6 月，在跨链协议上一共呈现了 2 起安全事情。5 月 16 日，跨链智能收益与流动性聚合器 bEarn Fi 遭到黑客进犯，丢失近 1100 万美元。6 月 29 日，去中心化跨链交易协议 THORChain 发推称发现一个针对 THORChain 的恶意进犯，该次进犯造成的资金丢失为 14 万美元。
The Block 研究分析师 Igor Igamberdiev 曾表明，DeFi 协议之间的互操作性变得越来越杂乱，因而拓荒了新的进犯媒介，而且将来会变得愈加频繁。
而到了 7 月，与跨链相关的进犯事情数量突然上升。7 月 2 日，跨链去中心化交易所 DDEX 上的 XDX Swap 遭进犯，进犯者获利 85.17 ETH （约 17.85 万美元），并已将获利悉数跨链到以太坊上。
同日，ChainSwap 也发推称其合约遭到进犯，这是 ChainSwap 于 7 月初次遭到进犯，据悉，进犯者也是使用其代码中的另一个缝隙，使该渠道遭受了 80 万美元的丢失。
从 6 月底到现在，短短半个月的时间，产生在跨链范畴的安全事情已有 5 起，这个数字阐明针对跨链渠道或项目的进犯正在显着增多，难免让人猜测是否黑客盯上了跨链协议生态。
「任何新呈现的技能都会存在必定的风险，呈现安全事情也是必然趋势。」成都链安表明。
该安全公司以为，近期跨链协议进犯事情多发的原因有多个。一方面是跨链生态现在还不是特别老练，有许多方面需要改善。另一方面，跟着近期跨链相关项目累计财物规模不断扩展，势必会引来黑客的目光。
对此，PeckShield「派盾」也持有类似的观念。
正如咱们所知，现在市面上涌现出了多条公链，且它们的资金量已经颇具规模，但不同的链间好像孤岛，不同链上的财物无法自由交流。别的，很多新式公链仍缺失基础设施。因而，公链需要将其它链上的财物经过跨链的方法引进自身的公链。
「在当前常用的跨链方法中，除了中心化组织如交易所钱包中跨链提币之外，最常见的便是各种去中心化跨链财物桥，跨链桥有用地打破了链与链之间的信息孤岛。」PeckShield「派盾」对巴比特说，「跟着现在跨链桥的生态益发多样化的同时，黑客关于跨链协议也会备受重视，它们是黑客财物出逃的重要环节，因而，也会成为黑客进犯的方针。」
PeckShield「派盾」还发现，进犯者成功得手后也会经过跨链桥将财物快速搬运，再结合混币服务将财物洗白。而这种新式的洗钱⽅式，也对反洗钱作业添加了新的压力。
跨链进犯如何防备？
在跨链协议范畴，常见的进犯手法包含盗取用户私钥和签名等信息、使用合约中权限校验等方面存在的事务逻辑上的缺点以及链下其他部分存在的安全隐患。
从近期 Chainswap 和 Anyswap 两起跨链协议遭进犯来看，一是协议自身存在缝隙，二是跨链的私钥办理不到位。Anyswap 本质上是在私钥办理上出了问题。而上文提及的 THORChain 体系曾呈现的「假充值」缝隙则归于链下部分的事务逻辑问题。
「要防备黑客进犯很难，由于项目任意部分存在缝隙都可能造成巨大的丢失。」成都链安以为。
这不得不提到「防备黑客进犯」这个区块链职业陈词滥调的难题，从整个职业到 DeFi 范畴，再到跨链协议，进犯的目标不断转化，但采纳的防备方法其实大致相同。
首要，跨链协议自身需要查漏补缺。有用、专业的审计能有用地排查出已知的缝隙。
「但与常规的 DeFi 项目不同，由于跨链项目的特殊性，安全的考量不能局限于智能合约层面，需要足够重视链上部分和链下部分，尤其是留意排查与其他 DeFi 产品进行组合时的事务逻辑缝隙，以防止呈现跨合约的逻辑兼容性缝隙。」PeckShield「派盾」表明。
其次，项目需要规划必定的风控熔断机制，引进第三方安全公司的要挟感知情报和数据态势情报服务，在 DeFi 安全事情产生时，可以做到第一时间呼应安全风险，及时排查封堵安全进犯，防止造成更多的丢失。
此外，派盾还以为，可以联动职业各方力量，建立一套完善的财物追踪机制，实时监控相关虚拟货币的流转状况。
而关于投资者而言，可以鉴别可靠的项目或许是头等大事。
一方面，投资者不能轻易将自己的财物投入没有审计过的项目，包含正在进行审计但尚未完结的项目。
「即便是经过审计的项目，如跨合约的协议，投资者也不要过度授权。项目方对待跨链协议亦是如此，此次 ChainSwap 的丢失较大，涉及范围广也是源于这个原因。」派盾说。
另一方面，投资者也应该重视参加项目的最新消息，一旦遭受进犯事情，可以及时将自己的资金撤出，或许可以防止丢失的扩展。
成都链安指出，本次事情中，多个代币项目方在遭到进犯影响后，及时从兑换池中移除流动性，其实是一种较为成功的补救措施。
跟着职业开展，黑客进犯事情一次次的产生，不断冲击着 DeFi 从业者和投资者的热心和决心。但如上文所言，新技能的产生和开展都必然会伴跟着狂风暴雨的考验，依然也有许多从业者对 DeFi 和跨链的未来充满希望。
「其实跨链协议之前就有一些问题，现在产生两起进犯事情，反而让一些缝隙浮出了水面。换个视点看，或许也是一件好事。」DeFi 投资者陈耀（化名）告知巴比特。
PeckShield「派盾」调查发现，BTC 跨链桥的资金规模在短时间内产生了激增。该安全公司以为，此前跨链协议较少，跟着跨链协议生态的开展，需求逐渐增加，供给的解决方案逐渐丰厚，自然而然也会呈现开展中的阵痛，而这种短时阵痛可以倒逼生态中的各个环节加强安全意识。
成都链安同样也提出了类似的观点。「无论是之前的 THORChain 跨链体系「假充值」缝隙，或许 ChainSwap 合约装备不妥缝隙，还是 Anyswap 中签名中 R 值的复用。其实每一次安全事情的产生，都在为后续的项目敲响警钟，以鞭笞它们建立牢固的安全城池，也将促进生态和技能愈加老练和完善。」
视野开拓
假设楼市没有泡沫是假设楼价没有过高。-《经济解释（二〇一四增订本）》
