損失1.39億美元，BXH 管理權限何以拱手讓黑客？_BXH

10月30日，多鏈部署的去中心化交易應用BXH被盜，損失了價值約1.39億美元的加密資產，此次安全事故發生在BSC鏈上的BXH協議，據該應用官方聲明顯示，以太坊、OEC鏈、Heco鏈上的BXH協議及資產未受影響，但出于安全考量，關閉了所有鏈上的對外服務。

事故發生后，根據區塊鏈安全機構慢霧科技的分析，被盜前，BXH管理錢包地址出現過「賦予攻擊合約管理權限」的操作，導致攻擊合約通過管理權限從BXH策略池資金庫將其管理的資產轉出，被盜的部分資金已跨鏈轉移。

失竊原因一出，輿論嘩然，BXH不幸地以安全事故的方式反應了它的中文花名「笨小孩」。

有人想不通為何BXH能將資金管理權限「拱手讓黑客」，也有人質疑該應用監守自盜，該應用的王姓主導人此前的負面信息再次被扒出。BXH其官方未就輿情進行過多回應，僅表示「私鑰泄露」，并發布100萬美元懸賞金招攬白帽子團隊追回資金。

由于BXH已經關閉了應用的充提功能，依賴該交易所流動性的機槍池應用Coinwind也因安全排查而關閉了其在多條鏈上的充提功能，而另一個機槍池應用EarnDeFi則因Coinwind的充提暫停而關了充提。

Yearn Finance：因Euler被盜間接損失138萬美元，將使用Treasury資金足額承擔:金色財經報道，Yearn Finance發推稱，雖然對Euler沒有直接的風險敞口，但一些vaults卻間接暴露于黑客攻擊。

采用Idle和Angle策略的vaults在yvUSDT和yvUSDC上的風險敞口總計138萬美元。

開發者目前正在積極處理受影響的協議，任何剩余的壞賬將由Yearn Treasury承擔，所有vaults都將保持開放并全面運作，用戶可以照常使用。[2023/3/14 13:01:53]

DeFi收益能「套娃」，安全事故出現時也會產生「套娃」反應。截至發稿，上述三個應用均未開放充提功能。

BXH管理權限「被黑」遭質疑

價值1.39億美元的加密資產被盜走一天后，北京時間10月31日，BXH在官方社交媒體上公示了其在BSC鏈上的資金池剩余資產，包括USDT、USDC、BTC、ETH、BUSD、MDX在內，資產殘值約余1.84億美元左右。

Hodlnaut在Terra破產中損失1.897億美元:金色財經報道，新加坡法院任命的Hodlnaut的管理者表示，他們在確定該公司的準確財務狀況方面面臨重大困難。

Hodlnaut公司董事因淡化該公司在TerraUSD（UST）600億美元的生態系統崩潰期間對TerraUSD的風險敞口程度而受到抨擊。該公司將 \"大量 \"加密貨幣轉換為UST，其中大部分被押在現已失效的Anchor Protocol上，以產生收益。Hodlnaut的子公司Hodlnaut HK的董事表示，所遭受的損失相當于1.897億美元。（coindesk）[2022/10/29 11:54:02]

當前BXH在BSC鏈上的殘值剩1.84億美元

BXH官方表示，剩余資產的提幣方案將在第三方安全聯合團隊確認事故原因和合約安全以及調查初步問題以后，出具資產提幣公告和其他補償方案。

此前的公開信息顯示，去中心化交易應用BXH于今年3月初始部署于火幣Heco鏈，曾以「短短10天內吸引了數萬用戶以及12億美金的TVL」的成績風靡DeFi火爆期；今年7月30日正式部署在BSC鏈上，此后又在以太坊和OEC鏈上「建站」。

Flashbots產品負責人Bert Miller：“0xbaDc0dE”開頭地址在單筆交易中賺了 800 ETH，但一小時后被黑客盜走損失1,100 ETH:金色財經報道，據研究機構 Flashbots 產品負責人 Bert Miller 在社交媒體發文稱，一個“0xbaDc0dE”開頭地址的 MEV Bot 機器人操作員在單筆交易中賺了 800 ETH，但一小時后損失了高達 1,100 ETH，該地址在過去幾個月中執行了 220,000 筆交易。Bert Miller 解釋說，“0xbaDc0dE” 利用了一位試圖在 Uniswap v2 上出售價值 180 萬美元 cUSDC 的用戶，通過將交易與涉及許多不同 DeFi dApp 精心套利交易賺了 800 ETH（102 萬美元），而那位不幸的賣家從該交易中只收到了 500 美元。但僅僅一個小時后，“0xbaDc0dE” 所有 ETH 都被盜了，一名黑客從該錢包中獲取 1,101 ETH（約合 140 萬美元），區塊鏈安全公司 PeckShield 也發現了這筆交易并發布了與黑客相關的鏈上信息。[2022/9/29 22:38:56]

事發前的10月25日，BXH剛在BSC鏈上啟動了借貸池挖礦功能，結果5天后就出了事兒。

安全團隊：Web3音樂平臺Audius社區金庫被利用，損失1850萬枚AUDIO Token:7月24日消息，據慢霧官方推特表示，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIO Token，黑客將資金在Uniswap兌換為約705枚ETH，此時仍保留在黑客地址中（0xa0c......ab4c）。

Audius官方回應目前該問題已被發現并且正在進行修復，以太坊上的所有Audius智能合約都必須停止，包括Token，團隊認為沒有進一步的資金風險，修復完成前Token余額、轉賬等將暫時不可用。[2022/7/24 2:33:56]

區塊鏈安全機構、BXH的審計方之一慢霧科技已在事發后給出了初步分析，據該機構情報，黑客于27日13時部署了攻擊合約0x8877；接著在29日08時，BXH項目管理錢包地址0x5614通過grantRole賦予攻擊合約0x8877管理權限；30日03時，攻擊者通過攻擊合約0x8877的權限從BXH策略池資金庫中將其管理的資產轉出；30日04時0x5614暫停了資金庫。「因此，BXH本次被盜是由于其管理權限被惡意的修改，導致攻擊者利用此權限轉移了項目資產。」

Iron Finance被攻擊損失17萬美元 將于3月18日重啟:近日，基于幣安鏈的穩定幣抵押平臺Iron Finance被攻擊，兩個vFarm流動資金池（50% IRON—50% SIL池；50% IRON — 50% BUSD池）共損失17萬美元。隨后官方發文披露該事件稱：1.攻擊事件起因是由于云服務（FaaS）升級更改了獎勵率整數，但官方團隊并未意識到該問題。隨后有攻擊者通過出售所有的本地代幣SIL獎勵獲利17萬美元。2.Iron Finance智能合約沒有任何漏洞。3.將于3月18日重啟vFarms，并將SIL代幣重啟為sIRON。4.用戶暫時不要出售或兌換IRON代幣，待新池重啟時，BUSD的全部金額均可贖回。Iron Finance協議于3月初在BSC上啟動，其中IRON穩定幣與美元掛鉤，部分由BUSD和USDT等抵押品支持，部分由SIL算法支持。[2021/3/17 18:52:30]

追蹤也在事發后的10月30日開始了，慢霧科技于當日的北京時間16時24分公告，黑客在BSC鏈上的初始獲利地址已將4000ETH從BSC鏈轉移到ETH鏈，接著將300BTCB兌換為renBTC，跨鏈到了兩個地址上。

如按照BXH事發后的公告，被盜資金的轉移鏈條已經在多個安全機構的追蹤中，該應用也已經發布了100萬美元的懸賞公告，計劃招攬白帽子團隊進行資金追回。

慢霧科技的「初診」一出，網上輿論及BXH的用戶紛紛表示不解，有人疑惑，BXH的錢包管理權限為何會拱手讓予黑客，也有人將此質疑為項目方的監守自盜。BXH目前沒有應對這些輿情，僅表示「私鑰泄露」。

官方「私鑰泄露」說暴露了該交易應用在私鑰管理上的漏洞。DeFi領域的KOL神魚就有疑問，私鑰「為啥不多簽，為啥不加時間鎖」。對于這類疑惑，BXH也尚未對外給出答復，有待事后的更詳細的安全分析復盤。

媒體《巴比特》援引加密資產存管服務商安全鷺說法稱，加密資產的管理者需要更加重視單私鑰管理中帶來的安全風險，應盡快把Owner私鑰升級為多簽管理的方式，避免私鑰單點風險。而通過鏈上合約多簽或者MPC多簽，均可以實現對Owner私鑰的多簽管理。

可見，私鑰安全風險雖有，但也有技可施，掌管著用戶上億美元資產的BXH在私鑰管理上失職了。

兩個第三方機槍池連環關停充提

盡管事故發生在BSC版的BXH中，以太坊、OEC及Heco上的資產并未受到影響，但該應用出于安全考量，還是關閉了其在各個鏈上的服務功能。

BXH暫時關停服務后，DeFi「套娃」效應的暗黑一面也出現了，依賴BXH流動性的第三方機槍池應用CoinWind也在10月30日緊急地關停了其在BSC、Heco及以太坊鏈上的部分充值和提現功能。結果，另一個機槍池應用EarnDeFi的官方公告稱，因為CoinWind暫停充提，他們也停了充提。

BXH被盜的連鎖反應導致三個應用的用戶們目前都無法取出存儲在其中的資產。

蜂巢財經登陸CoinWind應用發現，該應用確實已經暫停了充提功能，收益雖然正常計算，但本金和收益均無法正常提取。EarnDeFi同樣如此。

兩個機槍池應用接連關閉充提

10月31日，CoinWind的公告顯示，由于BXH關閉了所有主鏈的充提，目前CoinWind無法從BXH取回部分投放資金，故跟隨暫停了Heco、BSC、ETH三條主鏈的充提，且相關數據暫無法準確計算。該應用表示，BXH如在確定無風險后開放Heco、ETH充提，CoinWind也將開放。現階段，Heco、ETH主鏈的CoinWind用戶的本幣及收益未受到影響，該應用正在全力跟進BXH在BSC鏈本次被盜資產的追回情況、損失情況和開放充提的時間以及資產提取方案的處理進度。

CoinWind暫停充提后，EarnDeFi僅在用戶群中通過小助手發了一紙公告，官網及官方該公告顯示，由于CoinWind緊急關閉了三條鏈上的單幣質押及DAO充提，EarnDeFi用戶在ETH、BTC、USDT池的充提會受到影響。具體多少資金被波及，該公告同樣沒有明說。

從雙方的公告看，機槍池應用CoinWind的投入及收益來源之一是BXH，而EarnDeFi的部分收益耕種區是CoinWind，結果，城門失火，殃及池魚。池是機槍池，魚是這些應用的用戶們。

需要關注的是，很多值得深思的細節問題也在事故發生后浮出水面。

比如，CoinWind官方社群的管理員就表示，他們與EarnDeFi并無關系，雙方沒有合作，也從未收到過對方前來存幣的對接信息，對方自事發后也沒有給出與CoinWind交互的合約地址。有CoinWind用戶認為，EarnDeFi在「甩鍋」，仍在使用該應用的用戶「要小心了」。

EarnDeFi也沒對對方的說法給出更多回應，但從其自身公告看，EarnDeFi作為機槍池「寄生」在另一個機槍池的做法多少顯得很懶惰，一般情況下，交易應用的挖礦池才應該是機槍池們獲取高收益的主要來源，結果CoinWind關充提，EarnDeFi三個主流單幣池就受了影響。

再比如，有用戶對CoinWind將資產投入到屢受爭議的BXH感到不滿，「早知道是投入BXH，我就不再CoinWind存幣了。」用戶有此情緒皆因今年7月，BXH被多家自媒體深扒了主導成員的「不靠譜」行徑，該應用的主導者王小彬被批評連續兩年在區塊鏈領域「發幣、圈錢」、「10個項目全是空氣」，而王小彬此前在互聯網領域創業時曾出現過產品跳票不發貨、公司倒閉、欠薪成老賴被限制消費等「黑歷史」。

有CoinWind用戶認為，將用戶資產投入到團隊有爭議的應用中去賺取收益，已經是風險前兆。

CoinWind社群管理員針對「為什么選BXH機槍」作出解釋稱，他們對BXH做了盡職調研，包括對接入的所有其他池子都會做調研評估，BXH的審計報告沒有問題，且基本是實名項目。「作為機槍池，我們的義務就是選擇收益高且較為可靠的池子投入，這次BXH被攻擊是由于私鑰被盜，就CoinWind而言，這確實屬于人力不可抗因素。」

BXH被盜需要反思自身的私鑰管理問題，而對機槍池來說，至少有一些用戶建議是值得這類收益管理應用們應該考慮的，特別是一個個DeFi應用都在朝著DAO發展時——公開、透明的告知用戶資金配置的去向。

不要以「機密」為由敷衍用戶，配資策略也許是機槍池的生存和競爭的壁壘，但公布資金被分配到了哪些收益耕地中并不太影響機密策略的具體執行，讓用戶知情權和選擇權得到提前滿足，這不正是區塊鏈所倡導的精神嗎？

Tags：BXHINDOINCOINbxh幣行情Wind bnd EloudELMOINU價格goldcoin

幣安app下載