DeFi的“卡布奥雷”车祸：吸取教训，敬畏创新，DeFi终将崛起

近期刚重回10亿美元锁仓值的DeFi生态，在上周末迎来了两场重大的“车祸”，去中心化交易协议Uniswap以及DeFi协议Lendf.me先后遭遇了重入攻击，并分别损失了22万美元以及2500万美元的数字资产。

根据Dapp Total的数据显示，尽管目前已统计的36个DeFi应用锁仓总值为10.8亿美元，同比上周仍增长8.37%，但DeFi所暴露出来的安全问题，已经引起了区块链行业人士的高度重视。

据悉，这两次攻击事件，都利用了ERC 777代币标准中的多次迭代调用tokensToSend 方法函数来实现重入攻击。

关于具体的攻击过程，这里我们就不再多做介绍，有兴趣的读者可以看链安科技、慢雾科技以及派顿（PeckShield）的这三篇技术分析文章：

1. Lendf.Me 2500万美元被盗！黑客如何肆虐？资金去了哪儿 ？
2. Uniswap/Lendf.Me Hacks: Root Cause and Loss Analysis
3. DeFi平台Lendf.Me被黑细节分析及防御建议

简单说，Copy了Compound V1代码的Lendf.me没有做重入保护，因此上面的ERC 777代币（imBTC）遭到了重入攻击。

黑客通过滚雪球式的“翻倍”操作后，其再通过抵押凭空造出来的imBTC，将Lendf.me流动性池中所有的资产都给“借”走了（实际就相当于造假币换走真币）。

而这一系列攻击造成的后果就是，以下这些资产都被洗劫一空。

然后黑客将攻击所得的资产转移到了不同的地址，包括其自有地址、imBTC Token地址、Tokenlon交易所地址、OneInchExchange地址、Compound地址等。

（图：来自成都链安报告）

对于这起攻击事件，dForce（Lendf.me）创始人杨民道 发文 表示：

“我们在北京时间上午9:15通过我们的内部监控系统得知了这次攻击，紧接着，我们暂停了Lendf.Me和USDx，并关闭了网站以调查攻击并评估情况。形势在不断变化，我们每分钟都在跟进了解，但似乎黑客已结束了他们的攻击。

我们知道黑客利用了imBTC使用的ERC777代币标准中的漏洞来执行重入攻击，ERC777（imBTC）的回退机制允许黑客在更新余额前重复制造和提出imBTC。从PeckShield的报告中可以看到更多关于这次黑客事件的分析。黑客试图联系我们，我们打算与他们进行协商。”

紧急着，令人错愕的事情就发生了，黑客先是退回了12.6万PAX，并附言"Better future"，之后又归还了38万HUSD以及320 HBTC，总共退还了价值约合278万美元的token。

暂且不考虑黑客归还所有资产的可能性，我们来反思下这起事件以及由此造成的影响。

根据笔者的观察，对于此事的发展，行业人士的观点主要可以分为两类：

1. 质疑DeFi（代表人物：比特币开发者Jameson Lopp等）；
2. 坚定支持DeFi（代表人物：数字文艺复兴基金会合伙人曹寅 等）；

质疑者的攻击点在于DeFi协议“不安全”以及所谓的“去中心化”并不符实，支持者则在强调“DeFi未来的前景，以及对人类进步的意义”，那两者谁对谁错呢？

实际上，这个世界本就不是非黑即白的，就如同1769年，法国物理学家尼古拉·卡诺（Nicolas Léonard Sadi Carnot）制造了世界上第一辆蒸汽驱动的三轮汽车“卡布奥雷”，这辆奇特的设备，每前进12-15分钟，就需要加热15分钟，并且运行速度只有每小时3.5～3.9km，可惜的是，卡诺在一次对“卡布奥雷”的试车途中由于操作故障撞到了一堵墙，在这台巨型机器瞬间被撞成一堆废铁的同时，也不幸酿成了世界上第一起重大交通事故。

(图：卡布奥雷发生车祸)

可以说，那个时候的汽车，是既不安全，也不高效的，难怪当时的马车车夫以及贵族会对卡诺的发明进行无情嘲讽。

而他们的指责，也都是正确的，因为当时的“汽车”确确实实就是一个玩具。

后来汽车在本茨、戴姆勒、福特等新一批汽车英才们的坚持创新下，才逐渐得到改善，马车车夫和贵族们才渐渐接受这种新的工具。

所以， 回顾这段历史，重要的不是指责谁对谁错，而是要让创新者从中吸取教训，要让普通参与者对创新心生敬畏 。

而今天的DeFi事件，就好比是当初的贵族一致看好“卡布奥雷”的前景，一堆人放心地将自己的生命交付给这个早期的新奇之物，结果却酿出了一场重大车祸。

有人说，区块链、Dapp以及DeFi参与者太过激进了，这难免会沦为黑客的提款机，这很残忍，但很现实。

从个人的理解来看，DeFi是很有前景的，但它目前还是处于自己的“蒸汽机”时代，对于多数人而言，这个新生事物暂时只适合了解与观望，而对于创新者和试验者，我们要向他们致敬。而对于“DeFi已死”的说法，抱歉，这个观点我不敢苟同。

一周DeFi文章推荐：

1. 巴比特独家 | DeFI平台遭洗劫，雪崩时没有一片雪花是无辜的
2. 赶紧收藏！让DeFI变得“肉眼可见”，用好这些数据资源就可以把握最新DeFI趋势
3. 观点 | DeFI首先需要证明自己不是一剂毒药
4. dForce受害者自述：躲过了爆仓，躲过了Fcoin，却没躲过DeFI这个黑客提款机
5. Alethio一季度DeFI研报：两轮死亡考验下的DeFI未来展望
6. DeFI Review特别篇：休斯顿，我们有麻烦了
7. 一文了解 Uniswap 和 Lendf.Me 合约重入攻击的最新进展
8. DeFI协议的护城河：它们在多大程度上是可以被分叉的？
9. DeFI 1日连遭2次攻击，dForce疑被盗2500万美元资产
10. 曹寅：央行数字货币或促进 DeFI 发展，孕育新的商业模式
11. Compound创始人：治理代币并非筹款工具，500万COMP将分配给协议用户
12. DEX协议Gnosis正式上线，不要最快的交易速度，只要最好的订单价格
13. 引介 | 反射债券：以太坊DeFI生态的新积木
14. 曹寅：是什么吸引顶级资本逆势投资DeFI？
15. 金融去中心化：DeFI 能否取代传统金融？
16. 曹寅：DeFI将超越乐高时代，进入“涌现”时代
17. 比特币要后发制人？Atomic Loans完成245万美元融资，开发第一种非托管比特币DeFI协议