文章来源：matataki
作者：小岛美奈子
Mementotehominemesse：谨记你不过只是一个人。——《世界语言简史》，常被引用的拉丁语名言
这已经不是Andre第一次翻车了，今年早些时候，Andre在刚开始构建yCrv的时候，就发生过一次事故，使得一个早期用户损失了14w美金。
Medium,AndreCronje,Postmortem28–02–2020
Medium,AndreCronje,PostMortemofthePostMortem
这件事件之后，Andre的置顶推文就是那则著名的Disclaimer。
Coinbase Support：正在修复关于莱特币的发送、接受和提取问题:6月10日消息，Coinbase Support 在推特回复关于莱特币的发送、接受和提取问题，称目前正在努力修复。[2023/6/10 21:27:59]
而就在本月中旬，YFI的社区项目SAFE也发生了内幕交易，提前买入了大额保单。虽然不是Andre的直接责任，但依然对YFI的社区造成了一定影响。
昨天发生的事故无论是损失金额，还是波及的人数，都比前几次事故要远远严重。而且事故原理也更加简单，简直可以作为Flashloan的入门教程了。以至于Andre都写不出像样的Postmortem来进行说明。
事故原理
Flashloan大家一定已经不陌生了，在今年EtherDenver期间，DeFi项目bZq就曾连续发生数次事故。其中第二次攻击并不是合约代码的漏洞，而是利用了合约设计的缺陷——所有合约都按照预定的设计在执行工作，但当这些合约组合时却形成了无风险套利的可能。因为攻击者需要在一笔tx内同时完成「借款」和「还款」的操作，因而这种攻击方法被称之为闪电贷??。DragonFly的研究员HaseebQureshi就曾撰文，称这种类型的攻击将会成为DeFi开发中的「新常态」。
观点：没有人真正关心加密货币隐私的问题:金色财经报道，事实上，没有人真正关心加密货币并不那么隐私的问题，这种对隐私的偏执，其实主要存在于一小撮思想家的头脑中。多年来，关注这一领域的人一直相信，最坏的情况是依赖加密货币的匿名性的幻觉。这种幻想加密货币为传统银行系统提供了一个不可追踪的替代方案，主要是在关于早期比特币犯罪黑社会的新闻报道中找到的。主流媒体对区块链技术的基本原理长期存在的误解，在公众心中产生了对这些加密货币默认提供的隐私水平的误解。对许多人来说，加密货币建立在完全可审计的公共账簿上的想法仍然是一种技术上的事后想法，而不是对隐私和信息安全有实际影响的有形现实。[2023/6/5 21:15:12]
事故合约
https://etherscan.io/address/0x5ade7ae8660293f2ebfcefaba91d141d72d221e8
ParaSpace旧官推：将推进社区投票转移由团队保管的多重签名:5月12日消息，ParaSpace 旧官推发文称，将直接推进准备社区投票，以转移目前由 ParaSpace 团队保管的多重签名。将通过 Snapshot 为多重签名转移准备投票机制，并将很快提供包含更多详细信息的更新。
此外，旧官推表示，在接下来的 12 个小时里将尝试与 ParaSpace 创始人 Yubo 建立公开对话，通过联合执行达成解决方案。如果 Yubo 愿意建立联系，将直接与其解决关键升级问题，以减轻短期用户负担，例如利率和 Gas 费用。
旧官推呼吁 Yubo 尽快告知其候选人姓名，以便将其纳入有关多重签名的社区投票中。[2023/5/12 14:59:46]
https://etherscan.io/address/0xc08f38f43adb64d16fe9f9efcc2949d9eddec198#code
安永：意识到QuadrigaCX冷钱包中比特币被转移，仍未找到相关私钥:12月21日消息，QuadrigaCX破产受托人安永会计师事务所周二发布声明称，已经“意识到”QuadrigaCX冷钱包里的比特币(BTC)被转移至其它地址。上周末，超过100枚与QuadrigaCX相关的比特币从冷钱包中转出，总价值约为170万美元，其中许多资金已经流入不同的钱包。
安永证实并没有发起这些交易。声明中称，安永公司以法院指定监管人和破产受托人的身份与管理层和其他人合作，以收回转移至这些钱包中的比特币。然而尽管进行了详细调查，仍无法找到与冷钱包相关的私钥。
作为Quadriga债权人律师的加拿大律师事务所Miller Thomson也在网站发表了类似声明。安永于2019年2月初首次宣布，它“无意中”将比特币发送至其无法访问的Quadriga冷钱包，失去了对这些比特币的控制。此后这些地址的比特币一直处于冻结状态，直到上周五，所有五个地址的比特币在美国东部时间下午6点52分至7点14分之间流出。（CoinDesk）[2022/12/21 21:57:19]
黑客地址
HTC与日本插画交流平台pixiv合作，将在元宇宙推出3D虚拟化身:7月26日消息，智能手机和VR耳机制造商宏达电（HTC）正与日本插画交流平台pixiv合作，将在其元宇宙平台VIVERSE上推出日系动漫风格的3D虚拟化身。（Forkast）[2022/7/26 2:38:01]
https://etherscan.io/tx/0x3503253131644dd9f52802d071de74e456570374d586ddd640159cf6fb9b8ad8
我们可以看到黑客一共发起了三次CreateContract操作，并且再得手之后，还还回去一半。
再看一些具体的受害者Case，比如这位老哥花了390个ETH去买EMN，一个小时之后只卖回了1个。
再比如这位推上的老哥@spzcrypto。。。前几个小时还在转推@eminencefi的状态。。下一则推就gotrekt了==。。。。
看上去也根本不像是演的。类似的受害者想必不在少数。
虽然攻击合约没有开源。。但是死观察这些tx的内联转账可知。。。这是一个标准的闪电贷??过程。。。。很容易把攻击原理还原出来，下面这则thread详细的描述了攻击经过：
如果你困惑于黑客是如何成功榨干$EMN合约的，这里是具体的机制。EMN合约允许你用DAI作为储备金，铸造EMN。它使用标准的类似Bancor的曲线——DAI被用作EMN的储备货币，EMN代币的价格由EMN的数量与储备货币中的数量决定。
第二种代币，eAAVE也类似，但有一个小而重要的不同——它是用EMN作为储备货币，但却是「虚拟的」——如果你通过向它发送EMN代币来铸造eAAVE，而不是将你的EMN存储在储备中，eAAVE合约实际上会销毁EMN。这种相互作用使得攻击者可以进行以下交易。下面是完整的攻击过程：
从Uniswap中闪电贷??出15m的DAI。
用你的DAI铸造尽可能多的EMN。
用一半的EMN铸造eAAVE。这将消耗EMN，减少总供应量，从而抬高EMN的价格。
以10m的价格卖出你的后一半EMN。
现在卖出你的eAAVE，取回你的前一半EMN，降低EMN的价格。
以6.649m的价格卖回你的前一半EMN。
向Uniswap归还15m的闪电贷??，享受1.67m的利润。
重复以上策略三次。
黑客能在如此短的时间里发现合约的漏洞，因而社区猜测也是一次内线作案。虽然说TestinProd是Andre的标准做法。但是今天的Andre头顶YFI之父的光环，其对社区的影响以不可同日而语。正所谓力量越大责任也越大，发生这样的事故，Andre本人其实难辞其咎。
后续
YFI的币价受此事故牵连，昨日大跌16%。
Andre本人也表示收到了许多受害者的私信人身威胁。随后Andre表示将会永久封存自己使用已久传奇账号Yearn.Deployer。并不再使用TwitterShill自己的新项目。
同时Andre也失去了他的左膀右臂。。。YFI社区KOL，第一时间shill并目睹了被骇全过程的@Bluekirby。。。。蓝色星之卡比表示自己将从YFI社区中辞职。
截止目前，该事件的影响依然在发酵中。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。