Defi挖矿热潮沉寂了一段时间之后，最近又逐渐反弹，这几天Uni、SUSHi、YFI等为代表的DeFi板块强势上涨，可以看出DeFi还是会继续蹦哒，不会停歇。
今年以来，DeFi成为了区块链的新风口，然而这块流淌着财富的去中心化金融热土，也被黑客盯上了……
最近 DeFi 攻击接二连三的发生，上个月底的 Harvest因CRV闪电贷款漏洞被黑客薅走了2000多万美金，前天 Akropolis 黑客利用重入攻击配合的dYdX闪电贷又薅了 200多万美金，而就在昨天Value Defi协议（YFV）又一次被黑客薅了 700万美金，成为又一起闪电贷攻击的惨痛教训。闪电贷这种创新模型已经成为黑客从DeFi大蛋糕中获利的重要手段，今年以来已经发生了多起类似事件。
不过最有意思的是之前Harvest之前被盗了3380w美元后黑客归还了250w美元，这次Value Defi协议被盗740w美元后黑客又返还了200w美元，被盗后又还钱这是什么骚操作？
拿闪电贷来说，它的出现给黑客提供了0成本试错的机会，可以不断地去尝试攻击DeFi项目寻找漏洞。只要找到了机会就可以空手套白狼，盗走资金。
闪电贷，是一种允许用户开立无抵押贷款，但贷款必须在同一个区块中偿还，否则就会被收回。这与传统的DeFi贷款有很大的不同，传统的DeFi贷款往往要求用户在前期对贷款进行超额抵押。闪电贷可以让世界上任何一个人暂时成为资金非常充裕的交易者，具有突然操纵市场的潜力。在最近的一连串攻击中，我们看到恶意行为者利用闪电贷瞬间借入、交换、存入并再次借入大量的Token，这样他们就可以人为地在一个DEX里操纵Token的价格。这个操作序列本身是合规的，因此它也就允许攻击者利用该DEX进行异常定价。
15：24，此次攻击选择了对 Value DeFi 团队非常不利的时间点，在被黑的时候Value 社区正准备进行一场AMA，距离活动开始只有大约20 分钟。
在 15:41，一名用户提出为什么协议锁仓值（TVL）出现了下降，当天早些时候，Value DeFi 锁仓值一度超过了 1100 万美元。
到了 15:49，人们的担忧越来越大，而协议团队成员则告知大家这是一个 UI 漏洞。
然后在 15:49，有人在聊天室放出了 etherscan 链接，价值 740 万美元的 Value DeFi 金库资金被转移。紧跟着，其代币VALUE受到影响，跌破1.9 USDT，日内跌超30%。
不过比较搞笑的是Value社区在被黑后AMA还照常进行。。。
攻击者最后归还了 200 万美元，并送了Value Defi团队一句话：你真的了解闪电贷吗？简直就是赤裸裸的鄙视啊！
更让人讽刺的是发生攻击的前一天，Value DeFi 还大胆宣称自己是DeFi领域最安全的协议，并且能够抵抗闪电贷攻击，这下吃瘪了。。。
这条推文后来被删除了，但我们的截图还活着
根据漫雾区的简析，本次Value DeFi 协议闪电贷攻击情况如下：
1. 攻击者首先从 Aave 中借出 80000 个 ETH，为攻击做准备；
2. 攻击者使用 80000 个 ETH 在 Uniswap WETH/DAI 池中用闪电贷借出大量的 DAI 和 在 Uniswap WETH/USDT 兑换出大量的 USDT；
3. 用户调用 ValueMultiVaultBank 合约 的 deposit 合约使用第 2 步中小部分的 DAI 进行充值，ValueMultiVaultBank 合约中一共有 3 种资产，分别是 3CRV、bCRV、和 cCRV。ValueMultiVaultBank 合约在铸币的时候会将合约中的 bCRV, cCRV 转换成以 3CRV 进行计价，转化的途径为 bCRV/cCRV -> USDC -> 3CRV。其中 USDC -> 3CRV 使用的是 DAI/USDC/USD 池中 USDC/3CRV 的价格。转换完成后，Value Defi 合约根据合约中总的 3CRV 的价值和攻击者充值的 DAI 数量计算 mVUSD 铸币的数量；
4. 攻击者在 Curve DAI/USDC/USDT 池先使用第二步中剩余的大部分 DAI 和 USDT 兑换 USDC，拉高 DAI/USDC/USDT 池中的 USDC/3CRV 的价格
5. 攻击者在 ValueMultiVaultBank 合约中发起 3CRV 提现，此时 ValueMultiVaultBank 合约和第 3 步一样，会先将合约中的 bCRV, cCRV 转换成以 3CRV 计价，由于在第 4 步中，USDC/3CRV 的价格已经被拉高，导致换算的过程中，ValueMultiVaultBank 合约中的 bCRV, cCRV 能换算成更多的 3CRV，也就是说使用同等份额的 mVUSD 可以换取更多的 3CRV；
6. 拿到 3CRV 后，攻击者到 Curve 的 DAI/USDC/USDT 池中使用 3CRV 换回 DAI，并在 Uniswap 中兑换回 ETH，然后归还 Aave 的闪电贷 。
短时间出现的这么多起盗币事件，其实已经给了我们提示，目前的DeFi项目还不够成熟，存在不少机制漏洞和系统风险，而黑客可以凭借极低的成本完成攻击和盗币。
DeFi项目现阶段的技术难以兼顾去中心化本质和安全性、稳定性，很多项目为了赶上风口，带着合约漏洞就匆忙上场，潜在风险还是很高的。
随后，Value DeFi团队发推证实其MultiStables vault遭到了“一次复杂的攻击，净损失达600万美元。” 目前正在进行事后分析，并试图减轻对用户的影响。
Harvest Finance 发推公布被盗资金分配方案，真金白银换来了GRAIN代币
不知道value defi会不会模仿harvest，债转币…..
一般来说，正常审计通过的项目，安全性大概在90%左右，未审计的在50%左右，而且defi牛市，不可否认defi是有高门槛的，只会是少部分人的牛市，
相信去中心化一定安全的话，那你迟早要踩坑。相对安全的去中心化Dapp一般是代码开源。并且源码过了慢雾审计一类，没留漏洞和后门。但并不表示它100%安全。
所以我们普通投资者不要有这样侥幸的心理，一定要斟酌好损失和回报后再考虑是否投资！
一洼田
