您的位置 首页 资讯

StableMagnet Finance2700万美元跑路案告破,警方发起DeFi史上首次链上退款

Poly Network 被攻击之后的 52 个小时内,在安全公司、白帽黑客、交易平台等多方的联手下,黑客悉数归还了被转移的资产。

几乎是同一时间,另一起发生于 6 月 23 日 BSC 网络上的稳定币兑换自动做市项目 StableMagnet Finance(SMAG)跑路案宣告侦破,英国警方将启动链上退款。用户损失金额超过 2700 万美元,英国警方追回了约 2225 万美元资产。

在英国警方的通报中,我们得以窥探到,诈骗犯是如何被发现并追回大部分资产。英国曼彻斯特警方在接到相关情报之后,确认了犯罪嫌疑人可能在曼彻斯特天牛后对其进行了追踪,并找到了一个包含被盗资产的 U 盘,其中有价值 950 万美元加密货币。几天后,警方又在一个在线保险箱中发现了价值 1270 万美元加密货币。

在追回了大部分加密货币后,英国警方宣布启动链上退款。作为 DeFi 攻击史上首次由警方发起的链上退款事件,警方需要对申领人进行 KYC,验证其本人真实身份以及钱包所有权。并且受害人需要向警方报案,并取得报案回执单以备查验。在经过校验后,受害人可获得 90% 的 USDT-ERC20 被盗资产。律动 BlockBeats 和该事件的受害人 L 以及来自 BSC 社区 KOL 并为警方提供了线索的 Ogle 聊了聊。

律动 BlockBeat:印象中千万美金级别以上的 DeFi 攻击事件,比如 dForce 上的 lendf.me 协议与 Poly Network,从案发到阶段性解决基本在数天内完成,StableMagnet 却接近 2 个月。我看您说这个团队的社会信息很早就被公布了,为什么警方没有按照信息去执行?

L:SMAG 案件的解决在 DeFi 攻击事件中可谓旷日持久,从被盗到警方找回资产一共差不多四周。社区调查组付出了远超其他同类案件的努力。SMAG 案件与其他两个案件有诸多不同,导致 SMAG 事件解决远比其他 DeFi 攻击事件棘手。

首先,虽然上述两个案件都是外部攻击项目方,但是 SMAG 是项目方本身为了 rugpull 而精心设计的骗局。在前两个案件中,项目方作为被攻击方,其团队以及背后的机构作为最大的受害者之一,有强大意愿与执行力。从被攻击之初就强力推动事件解决,黑客通常也更畏惧有组织的中心化推手,因此在局面出现变化时更容易妥协。而 SMAG 是一个无主要机构参与的匿名项目方,参与者都是在社区中自发前来挖矿的大众。当项目方实施行动后,他们认为这些分散参与者无法组织对他们构成威胁的有效调查,因此从一开始他们并不畏惧。

在去中心化世界,资本与权力同样非常重要。O3 与 Poly Network 是行业知名项目,众多机构与圈内头部权力人士参与。案发后,大型机构与头部用户在行业中一呼百应、得到业内包括 Tether、USDC 等各大项目以及交易平台的快速响应,集百家之力迅速震慑黑客,让黑客迅速屈服,SMAG 事件是没有机构光环与权力支持下的去中心化社区团结自救、与顽固骗子开展的对抗。他们虽然在案发后十几分钟便迅速联络交易平台,但涉案交易平台超过六小时都未进行响应,甚至有上千万美金的资产成功通过交易平台跨链转移,待遇与 Poly 事件天差地别。条件如此悬殊,SMAG 骗子一开始也满心轻蔑。

其次,骗子首领的性格与风险偏好有显著不同,我不是特别了解 lendf.me,但我跟进了 Poly 黑客事件。Poly Network 黑客大概率是单独作案,可能是个技术过人且才华横溢的年轻人,没准还在读书。他非常自信、但并不疯狂。他理智、胆小,对风险有清晰的认知。当他的某些线索被掌握之后,即便对其自身还未构成威胁,他便开始害怕。他不像他说的那样不在乎钱,而是因为外界压力和相关线索被持续挖掘而愿意妥协,但他并不愿意展现出屈服的态度,于是通过戏剧化又歇斯底里的表现,他试图让自己想变成「白帽」、救世主,以掩盖他最初卑鄙的动机,从而得以在聚光灯与掌声中全身而退。与 Poly 黑客截然相反,SMAG 这一伙人给我们的感觉是极端顽固,极度自信,甚至可谓傲慢,他们坚信自己无论如何都不会有后果,相信我们找不到证据也找不到他们。他们拒绝任何形式的屈服,即便身份暴露、即便社区与匿名组织多次直接联系项目方成员、发布警告,都无动于衷。

在骗子冥顽不灵并拒绝沟通的情况下,只有找到他们本人才能解决问题,我们寄希望于警方。社区掌握到项目方人士信息后,立刻传递给了香港警方。香港警方一开始对待该事件的态度是不紧不慢,收到线索他们也不打算采信社区的线索,而执着从 Binance 获取的证据。然而当时香港警方与 Binance 出现一些沟通困难,于是香港方面没有任何进展,即便香港在案发一周内已实现立案。从那时起,局面陷入了僵局。直到一条新线索指示项目方成员已从香港逃往英国。随后更多的信息挖掘,让他们在英国的地理位置越发清晰。

英国匿名者已在当地报案并且警方迅速立案,社区很快把项目方成员与他们的位置信息通知了英国警方。英国警方非常重视本次事件,案件规格很高,警方也很高效,他们根据线索在几天内便直接抓获了两个相关成员,并缴获大量加密的电子设备,此时距离案发已经超过两周。在控制这两位相关人员后接下来几天,被捕人士终于在警方的压力下屈服,分两次归还了他们存放在 Tornado 中的以太坊。但配合警方的只有被捕的成员,其他在英国的项目成员拒不露面,甚至在归还资产时仍与警方玩小把戏,视权威于无物。此时距离案发已经三周。

Ogle:我同意 L 的观点。我认为,由于我们无法控制的幕后原因,对这些人的追捕有些迟缓。我们曾试图在被攻击 24 小时内与骗子取得联系。我们最开始希望以一种去中心的方式来解决问题。社区自行解决是最合适的方式,而非通过中心化的警方。

不过,骗子不愿意妥协,他们无视任何消息。与此同时,有用户向 Binance 和香港警方发送了该案的信息。但是 Binance 和香港警方之间的沟通出现了障碍,并陷入了僵局。随后,骗子从香港离开并来到英国。这可能是骗子最愚蠢的决定了,他们傲慢得令人费解。目前,他们正在被大量的团队最终。自首才是最聪明的做法。不然,他们可能会付出更高的代价。

律动 BlockBeat: Ogle 说,O3 属于黑客找到漏洞,而 SMAG 是纯粹的诈骗,在 SMAG 的调查中,有哪些关键因素导致诈骗团队暴露了信息?

L:没有完美的犯罪。由 Ogle 为核心的社区调查组与数个匿名组织在项目跑路后,对骗子留下的各种痕迹做了大量的信息挖掘,包括且不限于钱包地址、转账记录、合约代码等等。我们无法向公众说明细节,但我们可以通过一些例子说明。比如我们发现项目方成员犯下了一些关键错误,比如他们重复使用了他们在过往制作的 DeFi 项目中的代码,因此暴露他们曾经组织了其他项目,他们的 Github 随后也因此暴露,通过 Github 找到了重要的线索,这只是一个例子。随后顺着这些信息,更多的个人信息被暴露了出来。当拼图一块接一块拼凑起来时,全貌也逐渐呈现。通过系统的调查分析与社会工程(social engineering),他们的个人信息、社会关系被完成地呈现出来。

律动 BlockBeat: 在 DeFi 攻击历史上看,这是首次警方链上退款,您和其他报案人是如何说服警方启动链上退款的?警方会如何判断收款人身份呢? 退款流程是怎样的? 需要 KYC 吗?

L:这是 DeFi 攻击历史上首次警方参与侦破并且由警方推动链上退款的项目。而且发起的警方是英国警方,众所周知英国是传统金融与传统秩序的桥头堡,中心化世界的最大势力之一。此举在 DeFi 与中心化世界都有里程碑意义。

对英国警方来说,最通用的方案是把数字资产变卖成法币,通过法币退款。但在本次事件中,有大量的亚洲地区受害者,尤其是中国受害者。如果通过法币退款,他们将面临巨大阻力。Ogle 与英国匿名者共同向警方建言,请求警方本着国际人道主义精神,为全球尤其是中国受害者提供便利。英国警方也非常开放地听取社区建议,并最终采取了链上退款的方式,实现了这个 DeFi 历史上的重大突破。

警方需要对申领人进行 KYC,验证其本人真实身份以及钱包所有权。钱包所有权验证是让申领人发送指定数量的某个代币到特定地址,从而验证所有权。另外,还要求申领人向警方(不限地区)报案,并取得报案回执,并且提供警官联系方式以供查验。在完成以上校验后,警方将以 USDT-ERC20 退还 90% 的被盗资产给申领人。

律动 BlockBeat: O3 和 SMAG 本质不同,属于两种类型的资产损失,您认为投资者应该如何挑选参与 DeFi 项目呢?

L:O3 是跨链流动性项目,SMAG 是 BSC 稳定币兑换项目。两个项目都是稳定币 LP 池遭受损失,用户损失的都是稳定币。用户挑选 DeFi 项目,最重要是关注合约安全。理想状态下,用户最好有审计合约的能力。然而这对多数人来说都并不现实,他们并没有这种专业能力。在这种状况下,用户可以考虑做以下措施,虽然无法消除风险,但至少可以降低风险:

·首先是避免参与名不见经传的匿名项目,也就是所谓土狗。

·不要盲目冲头矿,没有先人探路,自己很可能成为开路先烈。

·可以关注在社区中已经有一定关注热度与较大 TVL,并且稳定运行一段时间的项目。

·如果项目有知名机构参与,也是一个加分指标。

·分散投资,不要把你的资产集中在同一个项目中,不管其收益有多高。

·宁缺毋滥,保护本金。

Ogle:用户必须做的一件事是在参与项目之后取消授权。当你授权交易许可之后,项目合约便可以以任意方式使用你的代币。在 SMAG 事件中,有数百万美元是直接从受害者钱包中提走的,因为用户没有取消授权。

同时,尽量不要给项目无限制金额的授权。如果之前这么做了,建议使用类似 DeBank 的工具取消授权。

还有个同样重要的建议,不要在 DeFi 世界中单打独斗。加入微信、电报、Discord 等社区,向社区用户寻求帮助和建议,避免陷入困境。

律动 BlockBeat: 我看有的投资者表示已经对去中心化失望,您如何看待 DeFi 领域不断地资产损失事件,会对 DeFi 失去信心吗?

L:我一直认为不存在绝对的中心化与绝对的去中心化。中心化与去中心化是对立统一,共存而互相制衡,类似中国的」阴阳」。目前去中心化世界的发展仍处于相当早期,有太多的课题有待探索完善,如果盲目推崇去中心化极端主义以及彻底的」代码即法律」,与在一个一穷二白的国家中盲目推行共产主义无异,不会带来真正的发展与未来。

我是一个长期主义者,学生时代曾系统学习过科技发展史与理论。虽然 DeFi 不断出现各种事件,但我仍对 DeFi 未来充满信心。任何事物的早期的发展都是无序和混乱的,这是再正常不过的现象。世界是螺旋式上升发展,DeFi 也是如此。无数参与者在灾难中反思,在失败中改良,在挫折中优化,最终教育所有的参与者,为 DeFi 带来新的进步。

Ogle:我认同 L 的说法。

热门文章

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注