作者|秦晓峰编辑|郝方舟出品|Odaily星球日报
最近，DeFi流动性挖矿火热，各类项目层出不穷，蔬菜、水果、动植物等各种名字都不够用了。“古典老韭菜”也陆续入场。Odaily编辑部也曾探讨过，DeFi热潮最后会以何种方式谢幕，其中之一便是代码不行，引来黑客攻击，或项目方留了后门，最终导致币价暴跌。没想到这么快就有了实例。上周，EOS上的DeFi挖矿项目EMD跑路，并留下放肆宣言，可没想到最后项目方又“认怂”，归还了部分被盗资产。联想到今年年初DForce事件黑客同样归还资金，以及近期Sushiswap创始人套现后归还资产，不少人感叹：这届黑客和项目不行，跑路都不硬气。实际上，黑客或项目方还钱，并非良心发现，而是现实压力所逼。事件回顾：IP地址暴露导致身份泄露
BSC生态Rabbit Finance代码存在漏洞，或有跑路嫌疑:Medium用户Anonymous Dev发布文章称，BSC生态Rabbit Finance代码存在大量漏洞，或有跑路嫌疑。漏洞包括：1. 代币RABBIT的总供应量不是团队所称的203,000,000的硬顶；2. Rabbit's FairLaunch的拥有者可以随时无限量发行RABBIT代币;3. 100%的仓位可以随时被清算，资金随时会被盗，可配置的协议参数没有最大限制;4. 平台的所有资金都可能被盗；Rabbit的EOA账户可以随时升级执行合约据悉，Rabbit Finance是BSC生态杠杆流动性挖矿协议Alpaca Finance的竞争者，TVL约4.8亿美元，且经过了Certik和Chains Guard的安全审计。当前，代币RABBIT报0.27美元，24H跌幅近65%。另外，官方未对此事作出回应。[2021/7/14 0:50:17]
9月9日，慢雾安全团队发布提醒称，EOSDeFi挖矿EMD疑似跑路，并卷走了转移了78万USDT、49万EOS、5.6万DFS。项目方还嚣张地给受害者留言：经过社区投票，你被冻结了。EOS就是可以这么为所欲为。回头是岸吧，送外卖才能获得快乐。不死心的受害者们，还是给黑客地址留言，希望能归还被盗代币。但无论是威逼，还是利诱，通通不好使，跑路的黑客始终无动于衷。
币安BSC链上DeFi项目Meerkat Finance疑似跑路 损失3150万美元:3月4日消息，币安BSC链上的DeFi项目Meerkat Finance疑似跑路，PeckShield“派盾”安全人员快速定位并追踪发现，“农民”把真金白银抵押BUSD和BNB后，攻击者利用后门卷走3150万美元，其中包含价值1400万美元的BUSD和价值1760万美元的BNB。[2021/3/4 18:15:32]
此时，TokenPocket钱包站出来发声，称掌握了黑客曾经的IP地址。由于跑路的EMD项目曾使用过TokenPocket钱包，因此留下了IP地址以及移动设备等信息，并被TokenPocket定位到。再加上受害者开始报警，进行追查，黑客慌了。9月11日下午，EMD项目方在转账备注中表示，愿意归还被盗资产，但是必须停止现在所做的一切活动，否则将销毁私钥。随后归还了26万余枚EOS及5.6万枚DFS，但并未全部归还被盗资产。TokenPocket方面猜测，团伙已经分钱，团队里有人退回被盗资产，有人没有，因此目前受害者仍然没有消案，也在继续追查；并且，TokenPocket已和进行交涉并提交了黑客相关材料，具体细节不便公布。从EMD事件可以看出，项目方因为身份信息暴露，担心遭受法律制裁，最终还款。无独有偶，今年4月19日，dForce的去中心化借贷协议Lendf.Me遭到黑客攻击，价值约2500万美金的加密数字资产被盗。案件发生后，dForce团队曾表达了想与黑客协商沟通的意愿，但遭到无视，dForce遂向新加坡报案。案件最终得到解决，同样是因黑客在去中心化交易所1inch上泄漏了自己的IP地址。1inch配合新加坡以及dForce团队向黑客施压，迫使其归还赃款。除了上述两个案例，近期流动性挖矿项目SushiSwap创始人ChefNomi也因为承受不住压力，最终将自己套现的ETH归还社区。ChefNomi的压力主要来自于两方面：一是其真实身份可能被曝光。曾有猜测说，ChefNomi可能是Band联合创始人SorawitSuriyakarn，不过遭到后者否认；另外，另一位疑似SushiSwap团队的推特用户「0xMaki」曾发文表示，要曝光所有事情，包括ChefNomi身份。二是来自法律的压力。由于ChefNomi套现导致SUSHI大幅下跌，投资者损失惨重，选择维权。福布斯刊文称，多名SUSHI持有者对ChefNomi发起了集体诉讼。虽然ChefNomi一直保持匿名，但随着FBI和IRS的介入，在Twitter上留下IP地址的ChefNomi势必难逃。综上所述，如果不是走头无路，害怕真实身份被曝光，这些黑客以及跑路的项目方，根本不会对受害者报以任何同情，也不会归还自己的「成果」。黑客能逃掉吗？
动态 | LUCE（鹿客）交易所运营、客服集体失联，疑似跑路:今日，接到多个用户反馈，称10月18日，LUCE（鹿客）交易所完成平台币超募164%后，运营、客服集体失联，疑似跑路。根据截图显示，用户已向火币申请冻结鹿客账户，现火币已对鹿客账户做临时限制处理。
经查询，LUCE官网刊登了《运营个人申明》及《官方公告》两则申明。其中，《运营个人申明》称：“交易所目前面临的危机是平台技术配合出现问题，热钱包币种充提不能全面开启，LUCB上线无法如期进行，宣布解散所有社区社群的宣传合作节省开支。”《官方公告》称：“目前所有USDT都在归集地址没有动，部分公募USDT的开支都是用于了社区宣传费用以及回购LUCB和广告费用支出。”[2019/10/21]
上述三个案例，其实都有一个共同点，即留下IP或者相关证据，能够直接与其实体相对应。虽然钱被追回来了，但大家不应该抱有侥幸心理。因为，这些黑客，只是没有经验的入门选手。“他应该是一名优秀的程序员，但却是没有经验的黑客。“1inch创始人SergejKunz表示。顶级黑客会怎么做？首先，黑客访问某个网址，并不会使用我们常见的、会留下IP地址的浏览器。他们会使用代理服务器来满足匿名需求，避免被追踪。洋葱路由器是所有工具中级别最高的，也是最常见的选择。在盗窃成功后，黑客也不会直接把币转至大型交易所，因为这些交易所的反措施相对比较完善，已标记过大量地址，很容易追查至实体账户。因此，黑客要做的就是“”。一般有几种操作：一是将被标记黑客账户资金打散至多个小账户，多次转移，最终汇聚到一个个不需要KYC认证的小交易所变现。二是将赃款通过混币平台进行洗白。这类平台不仅支持Tor访问，而且向用户承诺没有操作日志，不会记录用户交易数据。最终，赃款经过多次重洗，流入黑客自己的账户，无论是还是第三方公司，都很难追查。来自慢雾的数据显示，过去十来年，加密市场已经发生了289起黑客攻击事件，共造成损失130.395亿美元。但回顾这些攻击事件，破案者寥寥可数，这也是黑客一直猖獗的原因。如何防范？
声音 | EOS原力创始人孤矢：社区不应该老是关注BM跑路不跑路的问题:EOS原力创始人孤矢刚刚在朋友圈表示：“BM这次要做的那条新链是有完整的聊天记录的，别媒体之间转来转去就搞成跑路了。社区不应该老是关注BM跑路不跑路的问题，社区早就该自己把开发的活儿当成自己的事儿，EOSIO还是有很大的改进空间。BM的愿景是让人类通过自由市场获得自由掌握自己的命运，意味着他不会all in到某条链上，甚至都不一定一直 All in区块链，没必要拴着他。不管BM跑不跑路，他的开发实力和创新能力都是碾压那些还在白皮书阶段的所谓国际顶级团队的。这次描述那条新链是有真实需求，也有实现路径。BM说新的链甚至可能不是区块链，这是非常正确的做事方式，他开发新链的目的不是做区块链也不是要去中心化，是要解决他愿景里遇到的实际问题。本来从学术上讲EOSIO也没那么区块链，但最后大家还是觉得好用接受了。”[2018/11/29]
虽然黑客横行，但并不意味着我们无能为力，任人宰割。投资者可以从以下方面进行防范：一是选择有安全审计公司审计过的项目。慢雾安全团队提醒，投资者在参与EOSDeFi项目时应注意相关风险，要注意项目方权限是否为多签，由于EOS本身的特性，非多签的EOS合约账号可转移合约内的资金。二是出现被盗后，不要再次向黑客转账，第一时间报警，警察会联系相关单位进行配合调查，尽可能减少损失。最后，祝大家远离黑客，早日财务自由。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。