8 月 10 日，异构跨链协议 Poly Network 遭到攻击，损失达到 6.1 亿美元，包含 2,857 ETH、9,630万 USDC、26,000 WETH、1,000 WBTC、3,340万 USDT、2,590亿 SHIB、14 renBTC、673,000 DAI和 43,000 UNI 转至以太坊，6,600 BNB、8,760万 USDC、26,600 ETH、1,000BTCb、3,210万 BUSD 转至BSC，8,500万 USDC 转至 Polygon。
PeckShield「派盾」第一时间定位并分析发现，此次攻击源于合约漏洞。
据了解，Poly Network 是由小蚁 Neo、本体 Ontology、Switcheo 基金会共同作为创始成员，分布科技作为技术提供方共同发起的跨链组织。
PeckShield「派盾」简述攻击过程：
a16z将向第15轮Gitcoin捐赠活动提供30万美元捐款:金色财经消息，a16z官网发文称将向第15轮Gitcoin捐赠活动提供30万美元捐款，以支持开源公共产品，包括零知识证明、基础设施、以太坊2.0、L2生态和智能合约语言领域的公共产品。[2022/8/26 12:49:26]
Poly Network 中有一特权合约 EthCrossChainManager，此合约主要用于触发来自其他链的信息。
在跨链交易中，任何人都可调用 verifyHeaderAndExecuteTx 来执行跨链交易，这个函数主要有三个作用: 一是通过检验签名来验证区块头是否正确，二是利用默克尔树来验证交易是否包含在该区块中，三是调用函数 _executeCrossChainTx，即目标合约。
此次攻击事件源于 Poly Network 允许调用目标合约，但在此过程中没有限制用户调用 EthCrossChainData 合约，该合约可追踪来自其他链上数据的公钥列表，即便在没有盗取公钥的情况下，如果你已经获取了修改公钥列表的权限，那么只需要设置公钥来匹配自己的私钥，基本上就可以畅通无阻了。
由于用户可通过发送跨链请求 EthCrossChainManager 合约调用 EthCrossChainData 合约，来蒙混 onlyOwner 的检验，此时，用户只需要杜撰一个正确的数据就能触发修改公钥的函数。
“美图炒币亏损1300万”登上微博热搜20位:“美图炒币亏损1300万”登上微博热搜，热度为515322，现排名20位。[2021/5/24 22:38:23]
接下来，攻击者离得手只有一步之遥，Poly Network 的合约允许调用任意合约，但是，它只调用与签名哈希对应的合约函数，如上图合约 C 所示。
8月10日晚 20:38 PM，Poly Network 官方在推特上公布攻击事件，并表示，为追回被盗资产，Poly Network 将采取法律行动，敦促黑客尽快还款，希望相关链上的矿工及各大交易所伸手援助，共同阻止黑客地址所发起的交易。
中心化机构、安全机构多方联动，试图阻止黑客。其中，稳定币 USDT 的发行方 Tether 响应极为快速，直接冻结攻击黑客以太坊地址中 3,300 万 USDT。
虽然已有多方积极参与对黑客的围堵，但黑客仍通过各种花式 DeFi 玩法快速混币，从这一点也可以看出，攻击者是个 DeFi 高阶玩家。
据 PeckShield 追踪显示，他先是在以太坊上利用 Curve 添加 9,600万 USDC/673,000 DAI 流动性，又在 BSC 上利用 Curve 分叉项目 Ellipsis Finance 添加 8,700万 USDC/3,200万 BUSD 流动性；很快，攻击者移除在 Curve 的流动性，全部兑换为 DAI，以防被冻。
一方面，Poly Network 在积极与黑客喊话，试图挽回所盗资产；另一方面，“看热闹不嫌事大”的吃瓜群众给黑客支起了招：“不要动用你的 USDT，你已经被列入黑名单了。”并收到了黑客馈赠的 13.5 ETH（价值 4.3 万美元）；眼看着有利可图，吃瓜群众越发积极为黑客出谋划策，更有甚者，留言黑客一些可行的混币措施，试图换取看起来极为可观的回报。
就在各关联方进退无门之时，黑客在区块高度 13001578 和区块高度 13001573 中留言表示，准备归还部分资产。在 Poly Network 提供多签钱包几个小时后，PeckShield 追踪到黑客开始在 Polygon 上归还部分 USDC，PeckShield 将持续关注和追踪相关资产流转情况。
据 PeckShield 统计，截至目前，2021年第三季度发生的跨链桥安全事件，已造成损失合计逾 6.4 亿美元，占总损失 44.5%。
PeckShield 观察发现，跨链协议这个新兴领域，打破了链与链之间的信息孤岛的壁垒，仍需要经受时间的考验。随着近期跨链桥的生态愈发多样化、丰富化，在它上面进行的交易、资金量大幅增长，例如，遭到攻击的 Poly Network，跨链资产转移的规模已经超过 100 亿美元，超过 22 万地址使用该跨链服务，这也就吸引了黑客对于跨链协议的关注，再加上跨链桥本身是黑客资金出逃的重要环节，因此，也会成为黑客攻击的目标。
PeckShield 建议设计一定的风控熔断机制，引入第三方安全公司的威胁感知情报和数据态势情报服务，在 DeFi 安全事件发生时，能够做到第一时间响应安全风险，及时排查封堵安全攻击，避免造成更多的损失；并且应联动行业各方力量，搭建一套完善的资产追踪机制，实时监控相关虚拟货币的流转情况；还要提升运维安全的重视度。
标签：NFT以太坊SWAPEFIFairy Forest NFT比特币以太坊是什么意思KokoSwapChargeDeFi Charge
DeFi数据 1.DeFi总市值： 1236.63亿美元 市值前十币种排名数据来源DeFibox DeFi总市值数据来源：Coingecko 2.过去24小时去中心化交易所的交易量：35亿美元 过去24小时去中心化交易所的交易量数据来源：Debank 交易量排名前十的DEX 排名来源：DeFibox 3.DeFi借贷平台借款总量：283。
DeFi数据 1.DeFi总市值：1010.2亿美元 市值前十币种排名数据来源DeFibox DeFi总市值数据来源：Coingecko 2.过去24小时去中心化交易所的交易量：46.5亿美元 过去24小时去中心化交易所的交易量数据来源：Debank 交易量排名前十的DEX 排名来源：DeFibox 3.DeFi借贷平台借款总量：272。
加密货币市场似乎已经走出“五月阴霾”,在刚刚过去的七月里,去中心化应用行业再次展现了令人兴奋的高速发展。“边玩边赚”（play-to-earn）游戏模式获得了成功,高价值非同质化代币（NFT）收藏品兴起,多链范式让中心化金融 (DeFi) 竞赛继续升温——这一切都在推动整个加密行业不断前进。
8月17日,阿里巴巴推出新的NFT市场,允许商标持有人出售其知识产的代币化许可证。该市场可通过阿里拍卖平台访问,为文学、游戏、动漫、音乐、美术等著作权人,提供基于“新版链”的数字作品确权认证和上链交易。 (图片来源于官网截图) 目前,该市场已上线,已发布的数个NFT将于下月开始拍卖。投标人须缴纳500元押金才能参加拍卖,每场拍卖均设定100元起拍价。
Aave Pro 为机构用户参与 DeFi 提供了新的通道,但也可能随之带来公平性和中心化等问题。 Aave 是一个去中心化、开源、非托管的借贷平台。在无需第三方的情况下,出借人通过将加密货币存入共享资金池来提供流动性,并从中赚取利息；借款人则通过超额抵押或无抵押（例如闪电贷）等多种方式,从资金池中获得资金,并最终归还本金和利息。
屡屡出现老鼠仓,反映出Coinbase在上币流程方面出现了严重的内控问题。 长期以来,Coinbase是加密货币行业合规与自律的代名词,但在最近几个月,Coinbase的形象几乎遭到颠覆。 究其原因,Coinabse上线新币屡屡出现老鼠仓现象,即在Coinbase正式宣布上线前几天即出现异常大涨现象。
区块见闻