原标题：《对话头部安全公司，为什么受伤的总是跨链桥？》
8月10日晚间，跨链互操作性项目PolyNetwork突遭黑客攻击，损失金额高达6.1亿美元。如果按照事件发生时相关资产的市场价格计算，这不仅仅是DeFi历史上涉案金额最大的黑客事件，更是整个加密货币历史上涉案金额最大的黑客事件。
尽管在各方的持续努力之下，黑客最终选择了归还全部6.1亿美元赃款，但作为一起注定会被记入加密货币历史的惊天大案，针对该事件本身及其相关趋势进行复盘和梳理仍有着较大的警示意义。
回顾本次事件，黑客的攻击手法基本已被刨析完毕，慢雾方面指出，酿成本次事件的祸因在于EthCrossChainData合约的keeper可由EthCrossChainManager合约进行修改，而EthCrossChainManager合约的verifyHeaderAndExecuteTx函数又可以通过_executeCrossChainTx函数执行用户传入的数据。
如果跳出个体案件，去探寻更高层级的宏观趋势，PolyNetwork一案再次佐证了黑客群体已将目光聚焦在了跨链协议这一新兴赛道之上。根据PeckShield的统计，截至?8月12日，2021年第三季度共计发生了?19?起DeFi?安全事件，其中跨链相关协议共六次被黑，除了?PolyNetwork外，还有ChainSwap、AnySwap、THORChain等。从数额上看，即便是不计入数额爆表的PolyNetwork事件，资金损失总额也高达3280万美元，高于其他所有类别。
6名法学教授提交法庭之友简报，反驳SEC在针对Coinbase案中的“投资合同”理论:8月13日消息，加密货币律师James Murphy（又名MetaLawMan）在推特上表示，耶鲁大学、芝加哥大学、加州大学洛杉矶分校、福特汉姆大学、波士顿大学和威德纳大学的法学教授近日提交了一份法庭之友简报以支持Coinbase，彻底粉碎了美国SEC的“投资合同”理论。
该法庭之友简报追溯了1933年联邦证券法通过之前、期间和之后“投资合同”含义的历史。以下是学者们的结论：
1. “到1933年，各州法院已经形成了一个标准，将‘投资合同’一词解释为一种合同安排，使投资者有权获得卖方日后收入、利润或资产的合同份额。”
2. 在1946年Howey案判决之后，“（投资合同）的共同主线仍然存在于……投资者必须因其投资而被承诺对企业的收入、利润或资产享有持续的合同权益。”
3.“最高法院认定的每一份‘投资合同’都涉及一项授予企业剩余股份的合同承诺。”
Murphy总结道：“在我看来，这份法庭之友简报为SEC的论点提供了致命一击，即二级市场上的加密代币交易是投资合同。”
昨日消息，包括区块链协会（Blockchain Association）、加密创新委员会（Crypto Council for Innovation）、数字商务商会（Chamber of Digital Commerce）、DeFi教育基金（DeFi Education Fund）、进步商会（Chamber of Progress）、消费者技术协会（Consumer Technology Association）在内的游说组织、a16z crypto和Paradigm等风险投资机构以及六名学者总共提交了六份简报（不包括美参议员Cynthia Lummis的简报）。[2023/8/13 16:22:59]
BitMEX行政总裁：香港在虚拟资产方面稍微领先新加坡:金色财经报道，加密货币交易所BitMEX行政总裁Stephan Lutz在接受《香港经济日报》采访时表示，香港在虚拟资产方面稍微领先新加坡，相信约6至12个月，海外虚拟资产交易相关的企业将重临相关并带来不少业界人士，他补充称未来香港政府或需要继续为大众市民带来更多虚拟资产咨询、投资风险等相关教育，行业才能持久建立。Stephan Lutz还表示，香港证监会采取的监管方式与欧洲不同，更能细致地保护大众投资者的利益，“欧洲的监管制度相对较完善，因为无论政府与业界都非常清楚虚拟资产的运作，产品只需要合规就可以；而香港的监管制度就更聚焦在保障散户投资者的金钱。”（inews.hket）[2023/6/15 21:38:51]
究其原因，PolyNetwork事件的黑客曾通过转账附加信息提到攻击动机——因为跨链攻击很“火”！
对话题进一步延伸：为什么跨链相关协议如此容易遭到攻击？跨链桥到底该如何平衡效率与安全性？在安全形势愈发严峻的当下，项目方、用户等不同角色需要注意些什么？倘若真的发生了极端事故，又有哪些行之有效的弥补手段？
派盾：DFX Finance DEX池疑似被攻击，损失约3000ETH:金色财经报道，据派盾PeckShield数据监测，DFX Finance DEX池由于缺乏适当的重入保护疑似被攻击，损失约3000ETH，约合400万美元。目前被盗资金已存入Tornado Cash。[2022/11/11 12:49:42]
为了找到这些问题的答案，Odaily星球日报特采访PeckShield、BlockSec等知名安全公司。作为深耕DeFi安全的专业人员，他们会给出什么样的答案？
Odaily星球日报：为什么跨链相关协议频繁被黑？是因为当前的技术方案尚不成熟？或是此类合约的潜在隐患难以侦测吗？
PeckShield：跨链协议是个新兴领域，它打破了链与链之间信息孤岛的壁垒，但仍需要经受时间的考验。ChainSwap协议遭遇攻击是因为合约本身存在漏洞，向AnySwap被攻击则是因为跨链的私钥管理出了问题，PolyNetwork被攻击也是因为合约漏洞。这给了所有跨链协议一个警示，需要提升对合约的查缺补漏和以及私钥管理授权安全的重视。
多链DeFi即服务基础设施公司ULTRADE完成240万美元种子轮融资:9月8日消息，多链DeFi即服务基础设施初创公司ULTRADE宣布完成240万美元种子轮融资，本轮融资由Algorand基金会参投。ULTRADE已经于今年6月下旬在Algorand区块链上启动测试网。目前该公司正在开发与CEX相媲美的全面DeFi体验并保持DeFi的非托管原则，帮助用户在无需编写任何代码的情况下启动自己的DeFi交易解决方案。[2022/9/8 13:16:07]
BlockSec：我觉得有多个原因。第一个是有利可图。由于跨链桥中往往存在大量的数字资产，因此成为攻击者眼中的香饽饽。第二个是跨链桥的整个流程比较复杂，涉及到多条链和多个合约之间的交互，而这些安全风险的监测需要通过对跨链桥做整体安全评估分析。对某一个模块的审计和分析并不能完整覆盖全链路的安全风险，需要一些新的安全思路和解决方案。
Odaily星球日报：在PolyNetwork一案中，社区质疑的一大焦点为其合约是否只有一名Keeper，尽管事后已经证明了该说法并不准确，但关于效率及中心化的平衡仍值得我们深思。在跨链相关服务中，是不是说跨链执行效力越高就会越中心化？中心化与不安全是划等号的吗？
虚拟形象技术公司Genies推出时尚产品NFT市场“The Warehouse”:8月30日消息，据外媒报道，虚拟形象技术公司Genies推出时尚产品NFT市场“The Warehouse”，首批NFT由时尚摄影师Tati Bruening设计，用户还可以利用应用内工具来修改他们购买的服装。创作者可以在应用中出售其设计的时装NFT，Genies对每笔销售收取5%的费用。（Techcruch）[2022/8/30 12:58:12]
PeckShield：跨链协议是基于区块链底层技术构建的，这就意味着它不仅会带有区块链技术的特性，也会携带技术本身的“不可能三角”，即不能同时兼顾“去中心化”、“安全性”、“交易处理性能”这三个特性。
BlockSec：原先孤链之间资产转移基本是通过中心化交易所来实现，跨链桥本就是通过侧链的应用来提升资产跨链的去中心化和执行效率，就技术而言是一种进步，也是业界为了摒弃绝对中心化而做的技术努力。
跨链执行效率和中心化并不存在因果逻辑关系，而跨链桥的中心化和不安全更没有直接关系了，中心化是否安全主要取决于中心化实体的安全性。从坏的方面来说，存在单点安全威胁问题，但是从好的方面来说，只要中心实体的安全保障做的高，那么安全性是可以得到保障的。
总体来说，还是取决于项目方的安全防御举措是否到位，尤其在安全公司参与审计时，需要判断审核，服务供应商是否存在超高权限及其进行RugPull的可能性，因为这样的操作权限设置，很可能在供应商私钥被盗或者遗失的情况下，造成大量资金的非法转移。
Odaily星球日报：在项目接连出事的大背景下，项目方应该怎么办？可以采取哪些措施来规避风险？
PeckShield：跨链桥生态的愈发多样化、丰富化，使得在其之上进行的交易、资金量也会随之大幅增长。例如PolyNetwork在遭受攻击之前，跨链资产转移的规模已经超过100亿美元，使用该跨链服务的地址数量也超过了22万个，这也就吸引了黑客对于跨链协议的关注，再加上跨链桥本身就是黑客资金出逃的重要环节，因此也会成为黑客攻击的目标。
对于项目方来说，首先寻求专业机构有效地排查出已知的漏洞，为协议的安全筑建第一道防线。
其次，还要注意排查与其他DeFi产品进行组合时的业务逻辑漏洞，避免出现跨合约的逻辑兼容性漏洞。
再然后，还要设计一定的风控熔断机制，引入第三方安全公司的威胁感知情报和数据态势情报服务，在DeFi安全事件发生时，能够做到第一时间响应安全风险，及时排查封堵安全攻击，避免造成更多的损失。
最后，应联动行业各方力量，搭建一套完善的资产追踪机制，实时监控相关虚拟货币的流转情况。运维安全。
BlockSec：
将安全引进设计中也就是我们通常说的securitybydesign，而不只是安全审计。应该在设计阶段引入第三方安全公司来一起评估安全风险。
项目技术代码开源从长周期看也是化解未知风险的一种必要性。
对链上情况保持持续监控，能及时感知链上异常事件，从而在损失扩大之前及时阻断。
Odaily星球日报：跨链的需求一直存在，且势必会越来越旺盛，对于用户来说，他们应该怎么办？怎样选择安全且合适的跨链桥？
PeckShield：需要说明的是，在发生此类安全事件时，损失最大的往往是为跨链提供资金流动性的LPs，我们的建议是做好项目背调，不要轻易将资产投入到没有审计过的项目中，包括正在进行审计但尚未完成的项目。再者，就是对于跨合约的协议，不要过度授权，包括项目相关方对跨链协议也不要过度授权。
Odaily星球日报：当发生极端安全事故后，有哪些行之有效的弥补手段？
PeckShield：当发生极端安全事故后，首先是项目方和相关方联动启动一级响应，追溯事故根源，同时追踪被盗资产流转情况，及时排查封堵安全攻击，避免造成更多的损失；实时监控相关虚拟货币的流转情况，联动中心化机构拦截、围堵被盗资产，尽可能挽回部分被盗资产；事后要准备完备的补偿方案，弥补用户损失；或者，设置比较可靠的保险方案。
BlockSec：
协同上下游业内资源，及时追踪被盗资产流向，并挽回损失，尤其是占据大多数流通性的交易所或稳定币方面，能在赃款风控上更有效阻断。
评估项目的整体安全性，引入第三方安全公司从安全视角整体审视项目设计，考虑到跨链项目的复杂性，应加大安全审计力度。
小结
PeckShield和BlockSec的回答为我们大致揭露了跨链相关协议当前所面临的安全挑战。
综合来看，跨链相关协议之所以容易屡遭攻击，大致可分为三层原因，一是随着赛道的高速发展，其承载的资金量也在快速膨胀；二是赛道仍处于新兴阶段，各项细节仍待优化；三是跨链相关协议往往涉及到多条链和多个合约之间的交互，流程上相对复杂，风险点较多。
对于普通用户来说，现在所面临的情况在某种程度上和去年DeFi起步之初有些类似，在权衡收益及风险需要更加慎重，优先选择审计状况更为完善、业务顺利运行更久的协议。
而对于身处一线的项目方来说，一方面要吸收过往事件的经验，针对性地查漏补缺；另一方面也要主动进行安全升级，方法包括但不限于委托更多安全公司进行审计，及时跟进底层公链的升级和变化，整合Lossless等衍生安全方案，寻求与?NexusMutual等保险协议的合作，像cBridge那样探索非合约型流动性锁定方式等等……
最后，我们想要呼吁所有相关从业人员，包括ChainSwap、AnySwap、THORChain、PolyNetwork等受害项目方不要丧失信心，新兴赛道的起步初期总是会伴随着阵痛，随着多链格局的日渐稳固，跨链势必会愈发蓬勃，黑客的“青睐”已侧面证明了这条赛道的价值，希望各位不要因为这颗绊脚石而停下了前进的脚步。
继今年6月矿机出海潮后,比特币算力已持续回升。据BTC.com数据,截至8月16日15时,过去一天的平均算力为143.12EH/s,过去三天的平均算力为127.81EH/s,过去7天的平均算力为.
8月11日,据Bitcoinvisuals数据显示,比特币闪电网络总容量已突破2,220.56BTC,按其价格估算,美元价值超过1亿美元,创下历史新高.
2021年8月,全国信息安全标准化技术委员会秘书处就已形成国家标准《信息安全技术区块链技术安全框架》面向社会广泛征求意见.
社会的数字化推动着身份的数字化。从健康信息到专业认证,无论是数量、种类还是价值,社会各界对身份信息和证书认证的需求都在增长。以往,身份信息由政府或者私营部门这些第三方进行监测和核实.
加密行业正面临来自不同国家的严格监管审查,包括1万亿美元基础设施法案的《加密税收报告》、Uniswap股权代币前端被限制访问,以及来自中国的加密货币禁令.
去中心化自治组织?BitDAO?于北京时间8月16日21:00在SushiSwapLaunchpad平台?MISO?开始IDO.
区块见闻