三天内DeFi协议bZx连遭两次攻击 黑客空手套得百万美金

三天内，DeFi贷款协议bZx遭遇两次攻击，攻击者空手套白狼，十几秒套利超百万美金。

2月15日，bZx团队在官方电报群上发出公告，称有黑客对bZx协议进行了漏洞攻击，造成部分ETH已经丢失；2月18日，bZx疑似遭遇第二次攻击，不同的是本次的对象是ETH/sUSD交易对。

这一事件被高度关注，因为它并非一起简单的、针对单一漏洞的“黑客式”攻击，它本质上更像是利用DeFi协议和产品的一次套利操控。“攻击者”充分利用DeFi的多个协议和产品的功能，以很低成本获得资金，通过操纵价格，实现获利。

借DeFi十几秒套利百万美金

首次攻击发生在2月15日，攻击者通过“闪电贷”0成本借得1万个ETH作为初始资金，利用多个DeFi协议的相互调用，实现了一笔非常不合理的交易。

第一步：通过“闪电贷”0抵押物从dYdX借出1万个ETH；

第二步：将其中5500ETH在Compound中抵押借贷112 WBTC的贷款抵押；

第三步：将1300ETH在bZx被发送到fulcrum，打开了一个ETH/BTC交易对的5倍杠杆空头头寸；

第四步：通过Kyber Reserve到Uniswap WBTC pool卖5637ETH（150万美金）,获得51.34BTC（51万美金）；

第五步：把Compound借出来的112BTC，在Uniswap WBTC pool卖112 WBTC,获得6800 ETH；

第6步：将3200 ETH + 6800 ETH（卖112 BTC获利）=10000ETH还给dydx。

据悉，攻击者获得总利润为1193ETH，目前价值29.8万美元。

2月18日，bZx再次发现了使用“闪电贷”进行的可疑交易，尽管首次攻击发生之后，bZx关闭了Fulcrum交易平台进行维护，但该攻击者再出新招，使用了Synthetix进行交易，目前bZx已暂时关闭被利用的合约。

Ethhub创始人Eric Conner估算到，这一次攻击者获利2388个ETH，约64.4万美金。

这两起攻击事件或许暴露出DeFi系统性金融风险的隐患，并对行业的发展具有很强的警示意义。

DeFi这把双刃剑该如何运用好？

攻击事件让“闪电贷”进入了大众视线，这是攻击者无成本套利的关键。“闪电贷”是在一个区块内在不同DeFi借贷平台发起多笔交易的方式，也就是不同资产和债务之间的转贷。

这一独特的属性属于DeFi，但同时它也是双刃剑，一旦其中的某个货币协议出问题，也会影响其它协议或产品。

这次零成本的“攻击”运用了不同DeFi协议和产品的闪贷、保证金交易、抵押借贷、去中心化交易等功能，其中涉及到协议和产品，几乎是DeFi领域的半壁江山，dYdX、Compound、Uniswap/kyber、bZx等。

这次攻击的厉害之处在于攻击者并没有动用自有资金，完全是通过利用DeFi协议和产品进行操作。其中关键的是“闪电贷”不用抵押，只要在一个以太坊区块内偿还即可；由于不用抵押资产，这也是本次bZx“攻击”事件可以实现空手套白狼的关键起点；此外5倍的保证金交易导致攻击者可以低成本借入大量的代币；不过要最终达成目的，“攻击者”还需要通过价格操纵来实现，其核心是WBTC/ETH的价格操纵，通过拉升WBTC（大约是正常价格3倍左右），然后将其抛售产生收益。

此次事件也给了DeFi从业者一个警示，随着DeFi领域锁定资金量级的增加，设计产品一定要考虑所接入的其他协议可能会对本身协议造成的影响和风险。

本文来源：比特大师
原文标题：三天内DeFi协议bZx连遭两次攻击 黑客空手套得百万美金

—-

编译者/作者：比特大师

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。