DeFi出现严重信任危机：继Uniswap后Lendf Me 2500万美元被盗

而在今日上午，攻击者目前共向 DeFi 借贷协议 Lendf.Me 归还 38 万枚 HUSD、320 枚 HBTC 和 12.6 万枚 PAX ，并留下纸条：“下次好运”。

网友也笑称其为“黑客提款机”。

什么是 Lendf.Me ？

可能很多童鞋对 Lendf.Me 是什么还很陌生，所以在这之前，先带大家了解下 Lendf.Me 是什么。

简单来说，Lendf.Me 是 dForce 旗下的一个借贷协议。

据其官网介绍，dForce是一个基于区块链的去中心化金融（DeFi）和货币协议平台，同时也是第一个获得世界领先商业银行战略投资的稳定币和 DeFi 协议平台，旨在为开放式金融应用程序提供底层基础设施。团队核心成员来自高盛、渣打、花旗、弘毅等顶尖金融机构的精英人员和数字货币行业的早期参与者。

2019 年 9 月，dForce 首个由社区开发者主导开发的去中心化借贷协议 Lendf.Me 正式发布。据其官网介绍，Lendf.Me 是基于全球资金池模式的去中心化货币市场，可以为用户提供灵活、便捷的理财和贷款服务，其中包括：

• USDx 生息：活期理财，随存随取；

• USDx 贷款：抵押 ETH，获得 USDx 贷款。

针对存款方：

• 将USDx存入http://Lendf.Me获取利息收入；

• 闲置资金活期理财，更高收益、更低风险、更好的流动性。

针对借贷方：

• 避免卖币套现错失资产升值的用户：不用变卖手上的数字资产，通过抵押的方式参与 USDx 借贷，通过支付少量的贷款利息，获取更高的资产增值。

• 需要更多资金投资优质资产的用户：通过资产抵押的方式获取流动现金，投资于优质标的，加快资产增长速度。

值得注意的是，用户通过 Lendf.Me 进行 USDx 存款不收取任何费用；申请 USDx 贷款只需要承担 0.05% 的一次性手续费。

那么，黑客又是如何对其攻击的呢？

Lendf.Me 2500 万美元被洗劫一空

据外媒 ZDnet 报道，黑客似乎把不同区块链技术的漏洞和合法功能联系在一起，精心策划了一场复杂的“重入攻击”。而重入攻击允许黑客在原始交易被批准或拒绝之前，在一个循环中反复提取资金。

尽管该攻击的细节尚未透露，但值得注意的是，在 1 月份，Lendf.Me 与 imBTC（一种与 BTC 挂钩的以太坊代币）集成。4 月 18 日，imBTC 在 Uniswap 去中心化交易所的流动池被攻击，导致价值约 30 万美元的代币损失。

通过初步分析，安全研究人员认为 Uniswap 和 Lendf.me 手法类似，极有可能是同一伙人所为。

Uniswap 和 Lendf.me 的相似之处在于，这两个平台都在使用：Lendf.me 协议、imBTC 和 ERC-777。

imBTC 是 imToken 推出的以太坊区块链上的 BTC 代币，ERC777 是在 ERC20 基础上推出的代币标准，兼容 ERC20，并在 ERC20 的基础上增加了一些新的特性。

imBTC 本身并没有安全问题。但 ERC-777 代币与 Lendf.Me 合约组合，就会产生重入攻击漏洞。

正是如此，黑客才能利用漏洞，在 Lendf.Me 上重复铸造出了 6700 多枚假的 imBTC，并以此为抵押，将 Lendf.Me 上的资产洗劫一空，并立即不断通过 1inch.exchange、ParaSwap、Tokenlon 等 DEX 平台将盗取的币兑换成 ETH 及其他代币，还将其余部分赃款转入了借贷平台 Compound 和 Aave。

截止目前，Lendf.Me 2500 万美元被洗劫一空，虽然攻击者今日归还了部分，但依旧杯水车薪，同时其安全性也受到业内同行的质疑。

Compound 创始人 Leshner 在 Lendf.Me 被盗一事发生后，也立即发推特表示：

“如果一个项目无法足够专业，无法构建自己的智能合约，而是直接复制，或者在他人智能合约的基础上稍作修改，那么他们实际上没有考虑安全性问题的能力或者意愿。希望开发者和用户能从 lendf.Me 事件中吸取教训。”

dForce 创始人杨民道也立即发声明称：目前团队正在积极补救，包括：

1.  与顶尖安全团队合作，对 Lendf.Me 进行更为全面的安全评估；

2.  与合作伙伴积极探讨可行的解决方案。虽然我们遭遇了攻击，但我们不会就此被打倒。

3.  与主流交易所、OTC 交易商、公安机构积极配合展开相关调查，竭尽全力追索被盗款项，追踪黑客动态。

为此，安全研究人员也解释了 DeFi 为何总是被黑客攻击：DeFi 的最大特性在于其开放性：一是对用户的开放性，二是合约间的开放性，所以 DeFi 只要有一个模块出了问题，可能就会拖垮整个生态，因此极易成为黑客的攻击目标。从今年年初的 bZx 攻击事件再到 Uniswap 和 dForce 的攻击事件，已经充分说明黑客已经掌握了 DeFi 系统性风控漏洞的要害，充分利用 DeFi 的可组合性对 DeFi 接二连三地实施攻击。

所以安全研究人员建议 DeFi 开发者们在代码层面不断作出改进和更新，不要一位地追求 DeFi 产品的高组合性，同时也应该注重不同 DeFi产品在安全上的可匹配性。

附 dForce 声明：

2020 年 4 月19日，dForce 生态里的货币市场 Lendf.Me 遭遇黑客攻击，导致市值约两千五百万美金的资产从合约里被取出。

（编辑：云计算网_泰州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!