PolyNetwork案第二日：黑客长文自叙攻击“心路历程”退款顺利已过半

吴说作者 | Colin Wu

本期编辑 | Colin Wu

 

吴说区块链获悉，8月12日凌晨PolyNetwork黑客发布了自问自答，截止到8月12日上午8时，被盗取的 BSC 链上约2.5亿美金资产已经退还，Polygon l链上约8500万美金已经退还，其他资产也在陆续退还中。

 

问答，第一部分：

 

问：为什么要攻击？

答：为了好玩 :)

 

问：为什么选择PolyNetwork？

A：跨链攻击很火

 

问：为什么要转走代币？

答：为了保证安全。

 

当发现错误时，我有一种复杂的感觉。问问自己，如果你面对如此多的财富，该怎么办。礼貌地询问项目团队，以便他们解决问题？任何人都可能成为叛徒！我不能相信任何人！我能想出的唯一解决方案是将它保存在受信任的帐户中，同时保持我自己匿名和安全。

 

现在每个人都闻到了阴谋的味道。内鬼？不是我，但谁知道呢？我有责任在任何内部人员隐藏和利用它之前揭露漏洞！

 

问：为什么如此复杂？

答：PolyNetwork是一个不错的系统。这是黑客可以享受的最具挑战性的攻击之一。我必须快速击败任何内部人员或黑客，我把它当作奖励挑战:)

 

问：你暴露了吗？

答：不。绝不。我明白即使我不作恶也有暴露自己的风险。所以我使用了临时电子邮件、IP 或所谓的指纹，这是无法追踪的。我宁愿呆在黑暗中拯救世界。

问答，第二部分：

 

问：30 小时前到底发生了什么？

答：说来话长。

 

信不信由你，我是被迫玩这个游戏的。

 

PolyNetwork是一个复杂的系统，我没有设法建立一个本地测试环境。我一开始没能制作 POC。然而，就在我放弃之前，AHA 时刻到来了。在调试了一整夜之后，我为本体网络制作了一个 SINGLE 消息。

 

我计划发起一个很酷的闪电战来接管四个网络：ETH、BSC、POLYGON 和 HECO。然而，HECO 网络出错了！中继器的行为与其他中继器不同，管理员只是直接中继了我的漏洞利用，并且密钥已更新为一些错误的参数。它破坏了我的计划。（翻译可能不够准确）

 

我应该在那一刻停下来，但我决定让节目继续！如果他们在没有任何通知的情况下秘密修补漏洞怎么办？

 

然而，我不想引起加密世界的真实恐慌。所以我选择忽略垃圾币，所以人们不必担心它们会归零。我拿了重要的代币（SHIB 除外）并且没有出售任何代币。

 

问：那为什么要出售/转换那些代币

答：POLY 团队最初的回应让我很生气。

 

在我有机会回复之前，他们敦促其他人责备和憎恨我！我当然知道有假的 DEFI 硬币（这句话没理解），但我并没有当真，因为我没有洗钱的计划。

 

与此同时，存入Curve可以赚取一些利息来支付潜在成本，这样我就有更多时间与Poly团队进行谈判。

问答，第三部分：

 

问：为什么给要小费 13.37？

A：我感受到了以太坊社区的温暖。

 

我正忙于调查 HECO 的问题并调试我的脚本。我认为这是网络问题，为什么我不能存款（我在一个复杂的代理后面）。所以我和那家伙分享了我的善意。

 

问：为什么要问 TORNADO 和 DAO？

答：目睹了如此多的黑客攻击，我知道将资金投入 TORNADO 是一个明智但绝望的决定。这违背了我的初衷。在遇到这么多乞丐后，成为 CROWDSOURCED 黑客只是我的笑话:)

 

问：为什么退款？

A：这一直是计划！我对金钱不是很感兴趣！我知道人们受到攻击时会很痛苦，但他们不应该从这些黑客中学到一些东西吗？我在午夜之前宣布了退款的决定，所以相信我的人应该好好休息；)

 

问：为什么退款的这么慢？

A：我确实需要时间与POLY 团队交谈。抱歉，这是我所知道的唯一一种在隐藏自己的身份的同时证明我的尊严的方法。我需要休息一下。

 

问：PolyNetwork团队？

A：我已经和他们开始了简短的交谈，日志在以太坊上。我可能会也可能不会发布它们。他们遭受的痛苦是暂时的，但令人难忘。

 

我想为他们提供有关如何保护他们网络安全的提示，以便他们在未来有资格管理 10 亿美金级别的项目。PolyNetwork是一个设计良好的系统，它将处理更多资产。他们在推特上有很多新粉丝，对吗？

 

（自问自答完）

 

其他：

 

关于此次事件详细的技术分析，慢雾进行了分析，推荐阅读：Poly Network 事件分析与疑难问答

 

关于BUSD与USDC为何没有第一时间冻结，超级君表示，昨晚（PolyNetwork盗币案发生后），我们找了USDT和USDC和BSC，USDT幸好早动手了十分钟（否则就跑了），USDC的CEO说他们要合法上市云云没有及时冻，BSC的最初都说冻结了，但后来CZ发推特后，才知道他们并没有。他表示，USDC和BSC昨晚都有机会及时冻结，很可惜，希望大家去推特和官网给USDC一些压力。

 

 

（头图来自DM）