DeFi之暗面——HackFi

DeFi 的热潮点着了 2020 年的商场心情，但伴跟着运用的发展，新的危险也悄然繁殖。

据 Odaily 星球日报不完全统计，从二月假贷及买卖协议 bZx 被盗，到年底明星稳妥项目 Cover Protocol 崩盘，2020 年 DeFi 范畴内已产生了四十余起起进犯作业，丢掉金额高达 1.774 亿美元（其间约 4939 万美元已追回，完好可见下方表单）。从刚刚上线的全新运用，到成名已久的头部协议，黑客们已然“鲨疯了眼”，恍惚之间，DeFi 好像变成了“科学家们”的提款机，乃至被戴上了 HackFi 这一戏弄式的昵称。

为了尽可能明晰地复盘 2020 年 DeFi 范畴的安全情况，咱们将依据各大 DeFi 运用在遭受进犯后发布的作业报告，一同结合派盾（PeckShield）、慢雾（Slowmist）等业界头部安全公司给出的查询剖析，对 DeFi 范畴2020年产生的一切安全作业进行一次体系整理。

依据作业产生的不同原因，本文将一切进犯分为了「技能要素作业」、「金融要素作业」、「人道要素作业」以及「其他作业」四大类。 

需要留意的是，DeFi 运用跨越了科技及金融两大维度，因而一同安全事故的原因往往是多要素、多维度的复合，下文中，即使某起作业被划分为 A 类，也不代表该作业的产生不存在其他 B 类要素，在一些详细事例内咱们会指明标注。

一、技能要素作业

“币圈一天，人世一年；DeFi 一天，币圈一年。” 

外部商场的瞬息万变以及 DeFi 运用自身的创新性和复杂性决定了，即使是思想最缜密的开发者也很难在产品快速迭代的一同做到完美无瑕，因而在合约编写或产品规划中往往不免呈现或大或小的缝隙及不完善之处。纵观一年以来产生的针对 DeFi 运用的各种进犯，可归于此类别的作业数量最多。 

往细了说，这一大类能够再分为三个细分类别：协议自身存在缝隙或是规划存在不完善之处；协议在交互进程中存在兼容问题；底层网络存在特殊性或产生毛病。

榜首类：协议自身存在缝隙或是规划存在不完善之处

首要是榜首类 —— DeFi 协议自身存在缝隙或是规划存在不完善之处，这一细分类别的逻辑最为明晰，了解起来也最容易，咱们将直接经过几个典型事例加以说明。

• 典型事例一：Pickle Finance（11 月 22 日）

11 月 22 日，旨在经过流动性挖矿计划来协助安稳币完结价格强锚定的 DeFi 运用 Pickle Finance 遭黑客进犯。黑客在调用 Controller 合约中的 swapExactJarForJar 函数时假造了 _fromJar 和 _toJar 的合约地址，经过转入假币换取了合约中的真 DAI，成功窃取了约 2000 万美元的 DAI（完好进犯流程可检查慢雾科技的查询剖析）。从失窃金额上来看，Pickle Finance 被黑无疑是本年度最严重的 DeFi 安全作业之一（仅次于 Harvest.finance 和 Lendf.Me，后者失窃资金已追回）。

作业的结局有些出人意料，遭受重创的 Pickle Finance 终究迎来了他们的救世主 —— DeFi 范畴最活跃的男人、Yearn（YFI）创始人 Andre Cronje。11 月 24 日，Andre 宣告 Yearn 将合并 Pickle Finance 的开发资源，一同 Pickle Finance 还将推出全新的管理代币 DILL，并将向受本次黑客作业影响的用户分发补偿代币 CORN。CORN 的申领已于 11 月 29 日正式发动。

回顾 Pickle Finance 作业的整个进犯流程，其要害在于 swapExactJarForJar 未能识别黑客布置的两个伪 Jar，合约缝隙终究酿成了悲惨剧。

• 典型事例二：Cover Protocol（12 月 28 日）

明星稳妥项目 Cover Protocol 这一年过的能够说是跌宕起伏，从 SAFE 时代的创始人决裂，到 Cover 初期成功抱上 Yearn 的大腿，再到 12 月末的惊魂一夜，电影剧本都不敢这么写。

12 月 28 日，Cover Protocol 遭受黑客进犯，这也是 2020 年产生的终究一同 DeFi 安全作业（完好进犯流程可检查 PeckShield 的查询剖析）。当晚，进犯者运用 Cover Protocol 的事务逻辑过错天量增发 COVER 代币并砸盘套现，COVER 的价格也从 800 美元左右开端一路暴降，几近归零。

图片来自：PeckShield 

有意思的是，本次黑客作业中的首要进犯地址指向了另一个 DeFi 项目 Grap Finance，该项目随后也已将其套现获取的 4350 枚 ETH 还给了 Cover Protocol 团队，并销毁了剩余的增发 COVER。尽管客观上来讲，Grap Finance 的行为的确像是白帽黑客为了维护 Cover Protocol 而采取了极点措施，但其行为仍然引起了不少的争议，一些声音质疑 Grap Finance 其实是因为身份走漏不得不挑选偿还“赃物”。

作业产生后，Cover Protocol 官方宣告计划依据缝隙产生之前的数据快照成果分发新的 COVER 代币，并将向流动性提供者分发共 4441 枚 ETH 作为激励。币安方面随后也宣告将启用「SAFU 基金」为快照时间后在币安买入 COVER 的持仓受损用户进行补助。

• 典型事例三：MakerDAO（3 月 12 日）

作为安稳币赛道乃至整个 DeFi 范畴的头部协议之一，MakerDAO 也未能幸免。

「312」黑天鹅期间，因为 ETH 价格暴降，MakerDAO 内很多假贷的典当率跌破清算门槛，引发了清算拍卖程序履行。但是，因一同以太坊网络 gas 费用呈现短时激增，清算机器人（Keeperbot）提交的买卖请求因为 gas 设置过低而受阻，某一清算人（Keeper）在没有其他竞争者的情况下，以 0 DAI 的出价赢得了拍卖。

作业产生后，剖析公司 Whiterabbit 发布报告称，12、13 日 MakerDAO 因清算机制失灵而零价拍出的 ETH 典当品价值高达 832 万美元，且体系内呈现了 567 万 DAI 的无担保坏账。尔后，为了补偿体系担保缺乏问题，MakerDAO 发动了首次 MKR 拍卖以添补缝隙，后续又对协议机制进行了一系列改进以避免相似作业再次产生。不过，MakerDAO 9 月完结的一次社区投票拒绝了对受到该作业影响的用户做出补偿，以 Peter Johnson 为首的受损用户随后将一项指控 MakerDAO 虚假陈说 DAI 相关危险的诉讼提交裁定。

整理 MakerDAO 清算作业产生的始末，尽管严格来说 MakerDAO 在协议层面并没有呈现硬性缝隙，但形成丢掉的首要原因仍是体系在规划上对极点情况准备缺乏，未能考虑到极点行情下 gas 费用暴升的问题，然后导致其清算机制无法正常履行。

第二类——协议在交互进程中存在兼容问题

其次是第二类 —— 协议在交互进程中存在兼容问题，本细分类别与榜首个细分类别之间的界限其实较为模糊，从根本上来说都是协议存在不完善之处，但在细节上仍是有着必定的差异，详细请看以下两个典型事例。

• 典型事例一：Uniswap & Lendf.Me（4 月 18 日，4 月 19 日）

之所以将这两起安全作业放在一同，一是因为两起进犯产生的时间较为接近，二是因为形成两起进犯的原因根本相同。

4 月 18 日，黑客运用 Uniswap 和 ERC777 规范的兼容性问题缺点施行了重入进犯，获利约 22 万美元。仅仅一天后，又一闻名 DeFi 途径 Lendf.Me（即 dForce）也被黑客以相似的手法施行了进犯，0x538359 开头的进犯地址这一次合计从 Lendf.Me 获利约 2523 万美元，这也成为了 2020 年失窃数额第二大的一同 DeFi 黑客作业（完好进犯流程可检查 PeckShield 的查询剖析）。

图片来自：PeckShield

幸运的是，买卖聚合途径 1inch 发现（Lendf.Me 作业）黑客在买卖时无意中泄露了有关其个人信息的重要元数据，随后将相关信息提交给了新加坡警方。重重压力下，黑客终究挑选了妥协，全额偿还了本次黑客作业的赃物。 

PeckShield 剖析指出，ERC777 呈现的意图是对 ERC20 规范进行改进，其愿景是成为 ERC20 规范的有用继承者。不过因为 DeFi 项意图可组合特性，一个合约在不同产品之间相互调用时，其事务逻辑复杂度也会大大添加，这就给注入代码进犯提供了可能性。

• 典型事例二：Balancer（6 月 29 日）

6 月 29 日，AMM 型 DEX Blalancer 遭黑客进犯，因为 Balancer 上的通缩型代币和其智能合约在某些特定场景不兼容，使得进犯者能够创建价格误差的 STA/STONK 流通池并从中获利。

黑客经过四个进程施行了本次进犯，详细流程如下：

1. 先是经过闪电贷从 dYdX 途径借出了 104331 个 WETH；

2. 重复履行 swapexactMountin() 调用，直至 Balancer 具有的大部分 STA 代币被消耗殆尽，终究 Balancer 仅仅剩余 0.000000000000000001 个 STA；

3. 运用 STA 代币和 Balancer 智能合约存在的不兼容性即记账和余额的不匹配性施行进犯，将资金池中的其他财物耗尽，终究合计获利价值 523616.52 美元的数字财物；

4. 偿还从 dYdX 借出的闪电贷，并卷走进犯所得。

作业产生后，Blalancer 很快作出反响，先是宣告将把通缩型代币添加至其 UI 黑名单，随后又宣告将对蒙受丢掉的用户进行全额补偿。 

不同运用之间的可组合性筑造了 DeFi 的楼房，一同也带来了新的兼容性危险。在日新月异的DeFi 范畴，不同协议之间的组合未来势必会变得愈加繁复，相似的黑客进犯大概率还会再次产生。

第三类——底层网络存在特殊性或产生毛病

以太坊网络孕育了现在的 DeFi 国际，用户也早已习气了以太坊的底层情况，当转而运用依据其他公链的 DeFi 运用时，用户一般都会想当然地以过往经验来进行危险评估，但事实往往却很残酷。此外，以太坊网络自身也不是肯定安稳，详细情况请看如下两个例子：

• 典型事例一：EMD（9 月 9 日） 

首要声明一点，一切的 DeFi 跑路作业都是不良项目方片面做恶所导致的成果，这一点不管在哪条底层网络上都是相同。就 EMD 而言，客观来讲也应该归类于第三大类「人道要素作业」，但鉴于该作业自身以及 EOS 底层网络的特殊性，咱们仍是挑选了将其归类于此。

9 月 9 日早间，慢雾、PeckShield 相继发布危险提示，依据 EOS 的 DeFi 项目 EMD（翡翠）疑似跑路，项目合约 emeraldmine1 向账号 sji111111111 搬运了 78 万 USDT、49 万 EOS 及 5.6 万 DFS。万幸，因为 TokenPocket 钱包表明 EMD 项目方曾运用过该钱包，留下了 IP 地址以及移动设备等信息，在法律制裁面前，终究项目方不得不同意偿还财物。

值得留意的是，形成本次作业的一大要害点在于，EOS 网络自身的特殊性导致非多签的 EOS 合约账号可搬运合约内资金。主网布置记载显现，EMD 在发布后的确曾对合约进行升级。项目方在跑路后乃至还经过转账附加信息叫嚣称：“EOS 便是能够这么为所欲为。”

在 EOS 生态深耕多年的 Meet.one 负责人高锋也表明，不同于以太坊，EOS 上的智能合约在发布后能够修改，且即使是多签也有权重凹凸之分，bloks.io 等浏览器能够检查智能合约，但很多项目合约并没有开源。因而理论上，DeFi 项目在 EOS 上比其他公链的危险也高些。

慢雾就此提醒称，投资者在参加 EOS DeFi 项目时应留意项目方权限是否为多签，是否存在修改权限等不安全要素。

• 典型事例二：Infura（11 月 11 日）

11 月 11 日，以太坊 API 服务商 Infura 的服务暂时中止，币安、Upbit、Bithumb 等多个买卖途径被迫暂停了 ETH 以及 ERC20 代币充提服务，参加 DeFi 时最常用的轻钱包 MetaMask 也呈现余额显现反常、数据推迟等情况。

严格来说，Infura 宕机作业的影响并不局限于 DeFi 范畴，且从成果上看并未形成资金丢掉，因而也算不上什么黑客作业，但该作业导致的网络数据反常的确对用户正常拜访 DeFi 运用形成了阻碍。

二、金融要素作业

熟悉 DeFi 的朋友们可能还记得，入冬以来曾有过一阵安全作业顶峰期，Harvest Finance、Value DeFi、Akropolis、Cheese Bank、OUSD 等多个 DeFi 项目先后遭受进犯，复盘那一段时间内产生的一切黑客作业，其间多起终究都指向了同一种手法——「闪电贷进犯」。 

所谓「闪电贷进犯」，其实是一个定义误差，咱们认为这一类进犯手法最准确的姓名应该叫做「预言机控制进犯」，其根本逻辑是，黑客经过一系列手法出入各类典当、假贷、买卖协议，运用巨额资金扭曲某个单一商场的价格数据，从而打乱预言机报价成果，终究施行套利。在此类作业中，黑客们往往会挑选运用闪电贷 —— 答使用户零典当贷出巨额财物，但必须在同一个区块内还款，不然买卖会回滚 —— 来获取进犯所需的巨额筹码，长此以外，闪电贷便背上了“污名”，但咱们需要明晰地认识到，闪电贷仅仅只是个金融工具，黑客成功搅扰了预言机数据才是此类作业产生的根本原因。

尽管从详细情形来看，本类安全作业并非与技能要素毫无联系，但与榜首大类「技能要素作业」不同，本类作业的原因往往愈加偏向于金融维度，详细情况请看以下几个典型事例。

• 典型事例一：bZx（2 月 15 日，2 月 18 日）

假如评选年内最倒霉的 DeFi 项目，假贷协议 bZx 肯定能够争一争头名。一方面，它是本年度榜首个遭受进犯的 DeFi 项目，另一方面，bZx 先后三次遭受进犯也是本年度之最。

2 月 15 日，2 月 18 日，bZx 在短短的三天内先后两次遭受黑客进犯。PeckShield 对两起作业的进犯流程进行了整理，其间榜首同的流程可概括为“闪电贷获取可用资金，囤积 WBTC 现货，杠杆拉盘 WBTC 价格，兜售 WBTC 现货，偿还闪电贷”；第二起的流程可概括为“闪电贷获取可用财物，拉升 sUSD 价格，吸纳更多筹码，典当 sUSD 借出更多 ETH，偿还闪电贷”（完好进犯流程可检查 PeckShield 的查询剖析一、查询剖析二）。两次进犯分别对 bZx 形成了 1271 枚 ETH、2378 枚的丢掉，按其时价格计算约为 35 万美元、64 万美元。

从进犯流程上看，尽管两次进犯的详细流程完全不同，但整体上的套利思路仍是一起的，黑客运用了途径间同享流动性缺乏以及取价机制规划不够完善等客观条件，经过闪电贷短时间内获得了巨额筹码，针对性地搅扰了某一商场内（往往流动性不高）的价格数据，终究再运用控制后的报价成功于 bZx 内套利。 

不幸中的万幸是，稳妥项目 Nexos Mutual 此前已支持了对 bZx 的稳妥服务，这意味着在 Nexos Mutual 内购买了 bZx 相关稳妥的用户能够申领补偿。在作业产生后，Nexos Mutual 社区也认同此次进犯形成的丢掉符合补偿条件，bZx 作业就此成为了 Nexos Mutual 的首个施行补偿案。

不过，bZx 的霉运并未就此结束，9 月 14 日，该项目再次因合约缝隙失窃 4700 枚 ETH，好在这一次 bZx 仅用了两天便找回了被盗财物。

• 典型事例二：Harvest.finance（10 月 26 日）

10 月 26 日，DeFi 聚合协议 Harvest Finance 遭受黑客进犯，依据项目官方后续发布的公告，本次进犯丢掉合计 3380 万美元（黑客已退回 247 万美元），约占进犯产生前协议中锁仓总价值的 3.2％，这也是整个 2020 年失窃金额数量最大的 DeFi 安全作业。

简略整理本次 Harvest Finance 作业的黑客进犯逻辑，大致可分为如下三步：假贷 —— 正向操作价格 —— 逆向操作价格。 

黑客首要是经过闪电贷借出了很多的 USDT 以及 USDC；随后在Curve 协议 y 池将很多 USDT 兑换成 USDC，导致 USDC 价格升高；因为 Harvest 池内 USDC 价格参阅 y 池，也跟着上涨；此刻再用 USDC 在 Harvest 池兑换更多的 fUSDC；在 y 池对上述进程逆向操作，将很多 USDC 兑换成 USDT，导致 USDC 价格下降；此刻 Harvest 池内 USDC 价格也跟着下降；再用 fUSDC 能够兑换出比本来更多的 USDC，终究完结套利。

12 月 9 日，Harvest Finance 正式发动了对受损用户的补偿，因本次作业而蒙受丢掉的用户可在官方索赔网站上申领 USDC、USDT 以及全新的 GRAIN 代币（用户透露 GRAIN 占绝大部份）。但是，Harvest Finance 的补偿办法却再次引发争议，鱼池创始人神鱼也在微博上直言项目方“鸡贼”，因为 Harvest Finance 在推出 GRAIN 时已大幅折价（发行价 0.21 美元），用户简直无法得到全额丢掉补偿，且 GRAIN 在上线二级商场后又是一路走低，到 1 月 3 日清晨，GRAIN 报价已跌至 0.04 美元。

• 典型事例三：Compound（11 月 26 日）

Compound 创造性的流动性挖矿掀开了 2020 年 DeFi 热潮的榜首章，但作为龙头假贷项目，Compound 也未能逃过进犯者的狙击。

11 月 26 日下午，Compound 内忽然呈现了近 9000 万美元的清算数据，导致呈现巨额清算的首要原因是，Compound 的预言机数据源 Coinbase Pro 的 DAI 价格呈现了反常波动，一度飙升至 1.34 美元的不合理值。受此影响，Compound 内很多假贷的典当率跌破了清算阈值，除了运用 ETH 等非安稳财物贷出 DAI 的用户遭受影响外，用安稳币假贷安稳币（首要为了挖矿）的用户也未能幸免。

过后看来，这是一同典型的预言机控制进犯，进犯者经过控制 Compound 预言机所依赖的信息源完结了短时间的价格操作，成功误导了链上价格。数字财物服务商 StakeCapital 的创始人 Julien Bouteloup 的链上剖析证明了这一点，巨额清算产生期间，曾有人成功套利逾 355 万美元，该进犯进程首要分为如下几个进程：运用闪电贷从 Uniswap WETH-DAI 池借出 4600 万 DAI；偿还 Compound 中的 DAI 债务；从清算中获取约 23.96 亿 cDAI；将约 22.26 亿 cDAI 换成 4628 万 DAI；向 Uniswap 偿还DAI的借款和利息；终究剩余 1709 万 cDAI，折合约 3553325 美元，顺利完结套利。

Compound 社区曾提交管理提案 032 号，以讨论是否为受本次作业影响的用户发放 COMP 补偿，但该提案终究未能经过。Compound 创始人 Robert Leshner（在投票中放弃）则表明，希望社区能够运用这次清算作业作为进一步强化协议的催化剂，讨论激进或温和清算体系间的权衡计划，并在必要时添加额定的保障措施。

• 典型事例四：Value DeFi（11 月 14 日）

11 月 14 日，曾宣称可防备闪电贷进犯的 Value DeFi 惨遭黑客“打脸”，黑客运用闪电贷从 Aave 及 Uniswap 中借用了 8 万枚 ETH 以及 1.16 亿枚 DAI，再经过一番骚操作成功从 Value DeFi 内薅走约 540 万美元（总计 740 万美元，交还 200 万美元，完好进犯流程可检查 PeckShield 的查询剖析）。值得一提的是，黑客在进犯得手后还给项目方留了一句寻衅意味十足的文字：“你真的懂闪电贷吗？”

过后，一名自称是护士的用户企图联系黑客称，其已把毕生的积蓄（近10万美元）投入到该项目中，并请求黑客偿还这些钱，尽管多位推特用户均质疑了该用户所言是否实在，但黑客仍是向该用户转账了价值 5 万美元的安稳币；另一名用户称自己是一名 19 岁的大学生，为了所谓的高收益报答，丢掉了家里 20 万美元的积蓄，黑客后来也给这名用户发送了 4.5 万枚 DAI。

惨遭“打脸”的 Value DeFi 也吸取了经验，该协议在半个月后宣告集成了 Chainlink 喂价，以下降喂价控制进犯危险。该协议尔后发布的 Vaults v1 版本代码也现已过了 Peckshield 的审计，未发现重大问题。

• 典型事例五：Cheese Bank（11 月 7 日）

11 月 7 日产生的 Cheese Bank 进犯作业是一次极其典型的预言机控制进犯。

进犯产生在当日清晨 03:22，黑客先是经过闪电贷从 dYdX 贷出了 21000 枚 ETH 作为本金，再人为影响了 UniswapV2 上 CHEESE 池子的平衡，举高 CHEESE 价值以及相应的 UNI_V2 LP 代币的价值，终究从 Cheese Bank 内成功薅走了约 330 万美元（完好进犯流程可检查 PeckShield 的查询剖析）。

本次进犯的精妙之处在于，在施行进犯之前，黑客仔细演算过其持有的 LP 代币数量正好是能把 Cheese Bank 清空的数额，不得不承认，这是一次从规划到履行都堪称“完美”的进犯。

11 月 24 日，Cheese Bank 官推宣告现已追踪到一部分被盗财物和相关人员，现在现已锁定一名来自中国浙江的犯罪嫌疑人“张先生”，假如不能收回违法所得，Cheese Bank 将把一切相关证据移交中国警方。但是，到发文，作业并没有呈现任何实质性的发展，自那以后 Cheese Bank 再也没有更新过任何推文。

三、人道要素作业

就像前文说到的 EMD 跑路作业，除了技能及金融相关危险外，DeFi 范畴内的人道之恶相同不容忽视。DeFi 最炽热时，新项目为了攫取更多流动性，往往会在初期给出惊人的收益报答，浮动年化收益率（APY）上百、上千乃至上万的项目相继呈现。

高收益刺激着投机者们的神经，为了抢占头矿，获取最高收益，一些用户在未经充沛调研的情况下匆匆存入资金，这也给恶意项目方提供了作恶机会，跑路作业层出不穷。

• 典型事例一：Sushiswap（9 月 5 日）

Sushiswap 明显当然跑路，这里要说的产生在 9 月的 Chef Nomi 套现作业。 

9 月 5 日，Sushiswap 匿名创始人、首任大厨 Nomi（其时 Sushiswap 尚不是多签，Nomi 个人具有合约控制权）从协议内忽然转走了约 500 万枚 SUSHI 代币并套现获利，此举很快就在社区内引发了关于 Sushiswap 是否构成退出圈套的热议。

尽管 Nomi 自己回应称将持续履行承诺，完结 Sushiswap 后续的多签搬迁作业，但该项目乃至整个 DeFi 社区明显对此无法满足。FTX 创始人兼首席履行官 Sam Bankman Fried（SBF）连发 16 条推文，怒喷 Nomi 是“a piece of shit”。 

重重压力之下，Nomi 终究挑选了将合约控制权搬运给 SBF，由后者来牵头处理该协议后续的多签搬迁作业事宜。9 月 11 日，Nomi 再次发宣称对自己此前的套现行为感到懊悔，自己已向 SushiSwap 的金库返还了约 38000 ETH 套利所得，这笔财物在其时的价值约为 1400 万美元。

Nomi 个人的套现行为对 Sushiswap 社区形成了巨大伤害，尽管在 SBF 的牵头下，Sushiswap 尔后再次走上正轨，且跟着整合至 Yearn 生态，大有挑战 DEX 龙头 Uniswap 之势，但到 1 月 4 日，SUSHI 代币价格仍未回到 9 月 5 日 Nomi 套现前的价格水平（约 4.5 美元）。

• 典型事例二：YYFI（8 月 1 日）

8 月末，YFI 以及 YFII 的暴升将整个 DeFi 商场的心情推至顶峰，一时间多个“姨夫”仿盘项目呈现，投机者们也相继涌入，生怕错失下一个 YFII。 

贪欲终究酿成了悲惨剧，8 月 1 日，YFII 硬分叉项目 YYFI 跑路。过后回看，YYFI 从一开端好像就打定了跑路的主意，其圈套汇总起来大概便是以下几步：建立一个能够蹭上热门的合约开端预挖自己所发的流动性挖矿代币；建立各种交际途径（Telegram、Discord、微信）；运用高收益吸引用户参加，控制币价涨幅营建可套利的假象，持续给社区决心；终究运用预挖代币砸盘，砸不下来的情况下乃至能够无限增发导致代币暴降；套利离场，解散社群完全消失。

• 典型事例三：justfolio（9 月 10 日）

在众多跑路项目中，justfolio 能够说是玩出了把戏。9 月 10 日，波场链上 DeFi 项目 justfolio（JFT）跑路。值得一提的是，该项目为了拐骗更多资金，曾自称其智能合约现已过了成都链安的审计，但成都链安方面却向 Odaily 星球日报回应表明“从未审计过这个项目”。

justfolio 尽管消失了，其“创举”却被其他不良项目方学了去，9 月跑路的另一个 DeFi 项目 LV Finance 后来也假造了虚假的审计网站，企图经过虚假的审计报告来迷惑投资者。

四、其他作业

除上述各类作业外，用户在参加 DeFi 时还会面对其他一些圈套。依照前文的分类方法，咱们很难将这些作业准确归类，因为圈套往往存在于协议外部，与相关 DeFi 运用是否存在缝隙并无联系。 

比方假币暴虐现象，因为以 Uniswap 为代表的一众 DEX 上币无需审阅，一些欺诈者便瞄准了那些尚未发币或是刚刚发币的明星项目进行假币欺诈。此外，针对要害人士的钓鱼进犯也在年底刷了一波屏，12 月 14 日，稳妥龙头 Nexus Mutual 的创始人 Hugh Karp 在 Ledger 上履行一笔简略的买卖时，未能意识到转账地址已被替换，终究丢掉了 37 万枚 NXM，价值约 833 万美元，黑客随后在二级商场兜售砸盘，对 Nexus Mutual 以及投资者形成了严重伤害。

危险启示

回看过去一年产生的一切 DeFi 安全作业，跟着功能的日渐扩展，协议的复杂程度也在日渐提高，黑客的进犯手法相较过往已变得愈加难以捉摸。未来，DeFi 将持续向 Layer 2、跨链以及其他全新的方向进一步扩展，程序只会变得越来越复杂，这也将带来新的安全挑战，不管是项目方仍是投资者均需做好风控作业。

关于项目方而言，需要在产品上线预先进行充沛测验，尤其是要测验极点情况下的协议承压情况；此外，项目方有必要寻求专业的第三方审计组织对协议进行全面检查，后续也能够经过一些 Bug 赏金计划来活跃调动社区力气；鉴于一些经典的进犯手法（比方代币遭反常增发）相对而言有迹可循，项目方或许还能够针对一些特定的被黑场景提前布置灾备计划，以便在意外产生时快速做出反响。

关于投资者而言，在决定参加某款 DeFi 协议前应首要承认该项目是否已完结审计；此外，投资者需要明晰地认识到收益及危险往往并存，合理分配自己的仓位，一同也需要坚持良好的钱包操作习气；终究，尽管 Nexus Mutual 和 Cover Protocol 等稳妥项目2020年都没有逃过黑客魔爪，但 DeFi 稳妥赛道绝不会就此消寂，未来 DeFi 范畴的稳妥服务必定会日益完善，投资者能够考虑适当投保，以躲避潜在的黑客进犯危险。 

值得一提的是，2020年产生的多起 DeFi 安全作业都有一个一起特色 —— 黑客终究偿还了必定数额的赃物。在那些黑客身份尚不可知的作业中，咱们很难估测黑客的切当心理，但在 Lendf.Me 及 EMD 等事例中，黑客妥协的首要原因都是身份走漏，其个人面对着来自项目方及受损用户的申述“要挟”。相关事例告诉咱们，尽管 DeFi 在交互层面上已完结了去中心化，但一个个受法律维护及约束的人类才是参加 DeFi 的主体，因而 DeFi 绝不是什么无法之地，在财物意外遭受丢掉时，报警才是普通人最有用的处理手法。

安全是 DeFi 乃至整个加密货币国际永恒的主题。2020 年，咱们眼见了 DeFi 起楼房，但假如底基或是结构不够牢固，万丈巨厦也会有倾倒之险。

视野开拓

我们需要时间来了解自己，找出自己感兴趣的东西。只有在做一些使自己充满热情和力量的事情时，我们才是真正处于最好的状态，才能使金钱滚滚而来。 我们需要时间来做出一个原则性的决定，尽自己的义务去履行这个决定。因此，每个人都必须在生活中明确地做出决定：是想优化自己还是削弱自己。 优化自己指的是，学习如何以最佳的方式来运用时间、方法、才能、金钱以及与他人合作，其目的是达到最优结果。如果你想优化你的生活，你就应该不断努力成为你能成为的最优秀的人。 相反，大多数人都毫无计划地生活着，同时也削弱了自己。他们尝试过一种得过且过的生活。 他们不了解自己的天赋，当机会出现时，他们也识别不出来。-《财务自由之路》