損失1.39億美元，BXH 管理權限何以拱手讓黑客？_OIN

10月30日，多鏈部署的去中心化交易應用BXH被盜，損失了價值約1.39億美元的加密資產，此次安全事故發生在BSC鏈上的BXH協議，據該應用官方聲明顯示，以太坊、OEC鏈、Heco鏈上的BXH協議及資產未受影響，但出于安全考量，關閉了所有鏈上的對外服務。

事故發生后，根據區塊鏈安全機構慢霧科技的分析，被盜前，BXH管理錢包地址出現過「賦予攻擊合約管理權限」的操作，導致攻擊合約通過管理權限從BXH策略池資金庫將其管理的資產轉出，被盜的部分資金已跨鏈轉移。

失竊原因一出，輿論嘩然，BXH不幸地以安全事故的方式反應了它的中文花名「笨小孩」。

有人想不通為何BXH能將資金管理權限「拱手讓黑客」，也有人質疑該應用監守自盜，該應用的王姓主導人此前的負面信息再次被扒出。BXH其官方未就輿情進行過多回應，僅表示「私鑰泄露」，并發布100萬美元懸賞金招攬白帽子團隊追回資金。

由于BXH已經關閉了應用的充提功能，依賴該交易所流動性的機槍池應用Coinwind也因安全排查而關閉了其在多條鏈上的充提功能，而另一個機槍池應用EarnDeFi則因Coinwind的充提暫停而關了充提。

Atomic Wallet因黑客攻擊損失1億美元面臨訴訟:金色財經報道，來自俄羅斯和獨聯體國家的數十名高凈值投資者參與了針對Atomic Wallet的集體訴訟。該訴訟由德國律師Max Gutbrod和莫斯科法律科技公司Destra Legal聯合創始人Boris Feldman協調。這些律師代表約50名客戶，在兩個月前的Atomic Wallet泄露事件中，這些客戶總共損失了1200萬美元。

非托管加密貨幣錢包Atomic Wallet在2023年6月中旬遭受了價值1億美元的大規模攻擊。此次泄露影響了該平臺上至少5,500個加密賬戶。[2023/8/23 18:17:48]

DeFi收益能「套娃」，安全事故出現時也會產生「套娃」反應。截至發稿，上述三個應用均未開放充提功能。

BXH管理權限「被黑」遭質疑

價值1.39億美元的加密資產被盜走一天后，北京時間10月31日，BXH在官方社交媒體上公示了其在BSC鏈上的資金池剩余資產，包括USDT、USDC、BTC、ETH、BUSD、MDX在內，資產殘值約余1.84億美元左右。

7月份DeFi安全事件損失1020萬美元，環比下降逾95%:金色財經消息，派盾（PeckShield）監測顯示，7月份DeFi安全事件損失金額為1020萬美元，相比6月份的2.27億美元大幅下降95.5%。其中CremaFinance事件以880萬美元的損失排名第一，此外7月份共有3302枚ETH和967枚BNB（590萬美元）流入Tornado.cash。[2022/8/1 2:51:04]

當前BXH在BSC鏈上的殘值剩1.84億美元

BXH官方表示，剩余資產的提幣方案將在第三方安全聯合團隊確認事故原因和合約安全以及調查初步問題以后，出具資產提幣公告和其他補償方案。

此前的公開信息顯示，去中心化交易應用BXH于今年3月初始部署于火幣Heco鏈，曾以「短短10天內吸引了數萬用戶以及12億美金的TVL」的成績風靡DeFi火爆期；今年7月30日正式部署在BSC鏈上，此后又在以太坊和OEC鏈上「建站」。

事發前的10月25日，BXH剛在BSC鏈上啟動了借貸池挖礦功能，結果5天后就出了事兒。

Web3自1月以來因網絡攻擊損失14.8億美元:金色財經報道，網絡安全公司Hacken最近的一項研究顯示，從2022年1月到2022年5月，Web3總共因網絡攻擊損失了14.78億美元，其中4起事件就占總損失的81%。Ronin Network、Solana Wormhole、Beanstalk和Qubit金融事件是造成12億美元損失的四大超級黑客事件。報告指出，在14.78億美元的損失總額中，僅追回了4.5%，約合6800萬美元。（cryptoslate）[2022/7/20 2:26:45]

區塊鏈安全機構、BXH的審計方之一慢霧科技已在事發后給出了初步分析，據該機構情報，黑客于27日13時部署了攻擊合約0x8877；接著在29日08時，BXH項目管理錢包地址0x5614通過grantRole賦予攻擊合約0x8877管理權限；30日03時，攻擊者通過攻擊合約0x8877的權限從BXH策略池資金庫中將其管理的資產轉出；30日04時0x5614暫停了資金庫。「因此，BXH本次被盜是由于其管理權限被惡意的修改，導致攻擊者利用此權限轉移了項目資產。」

BaconProtocol遭受黑客攻擊損失100萬美元:3月5日消息，據區塊鏈安全機構PeckShield消息，BaconProtocol剛剛遭遇黑客攻擊，損失約100萬美元。[2022/3/6 13:40:05]

追蹤也在事發后的10月30日開始了，慢霧科技于當日的北京時間16時24分公告，黑客在BSC鏈上的初始獲利地址已將4000ETH從BSC鏈轉移到ETH鏈，接著將300BTCB兌換為renBTC，跨鏈到了兩個地址上。

如按照BXH事發后的公告，被盜資金的轉移鏈條已經在多個安全機構的追蹤中，該應用也已經發布了100萬美元的懸賞公告，計劃招攬白帽子團隊進行資金追回。

慢霧科技的「初診」一出，網上輿論及BXH的用戶紛紛表示不解，有人疑惑，BXH的錢包管理權限為何會拱手讓予黑客，也有人將此質疑為項目方的監守自盜。BXH目前沒有應對這些輿情，僅表示「私鑰泄露」。

官方「私鑰泄露」說暴露了該交易應用在私鑰管理上的漏洞。DeFi領域的KOL神魚就有疑問，私鑰「為啥不多簽，為啥不加時間鎖」。對于這類疑惑，BXH也尚未對外給出答復，有待事后的更詳細的安全分析復盤。

動態 | DAO損失1.2億美金的“重入漏洞” 重現江湖:近日,降維安全實驗室(johnwick.io)監測到成人娛樂系統spankchain支付通道(payment channel)關聯的智能合約LedgerChannel遭到了重入攻擊。某黑客發現了該支付通道合約的重入漏洞(Reentrancy)，并于北京時間2017年10月7日上午8時許創建了惡意攻擊合約，隨后成功從該合約竊取了165.38 ETH，約合3.8萬美元價值的以太幣。[2018/10/10]

媒體《巴比特》援引加密資產存管服務商安全鷺說法稱，加密資產的管理者需要更加重視單私鑰管理中帶來的安全風險，應盡快把Owner私鑰升級為多簽管理的方式，避免私鑰單點風險。而通過鏈上合約多簽或者MPC多簽，均可以實現對Owner私鑰的多簽管理。

可見，私鑰安全風險雖有，但也有技可施，掌管著用戶上億美元資產的BXH在私鑰管理上失職了。

兩個第三方機槍池連環關停充提

盡管事故發生在BSC版的BXH中，以太坊、OEC及Heco上的資產并未受到影響，但該應用出于安全考量，還是關閉了其在各個鏈上的服務功能。

BXH暫時關停服務后，DeFi「套娃」效應的暗黑一面也出現了，依賴BXH流動性的第三方機槍池應用CoinWind也在10月30日緊急地關停了其在BSC、Heco及以太坊鏈上的部分充值和提現功能。結果，另一個機槍池應用EarnDeFi的官方公告稱，因為CoinWind暫停充提，他們也停了充提。

BXH被盜的連鎖反應導致三個應用的用戶們目前都無法取出存儲在其中的資產。

蜂巢財經登陸CoinWind應用發現，該應用確實已經暫停了充提功能，收益雖然正常計算，但本金和收益均無法正常提取。EarnDeFi同樣如此。

兩個機槍池應用接連關閉充提

10月31日，CoinWind的公告顯示，由于BXH關閉了所有主鏈的充提，目前CoinWind無法從BXH取回部分投放資金，故跟隨暫停了Heco、BSC、ETH三條主鏈的充提，且相關數據暫無法準確計算。該應用表示，BXH如在確定無風險后開放Heco、ETH充提，CoinWind也將開放。現階段，Heco、ETH主鏈的CoinWind用戶的本幣及收益未受到影響，該應用正在全力跟進BXH在BSC鏈本次被盜資產的追回情況、損失情況和開放充提的時間以及資產提取方案的處理進度。

CoinWind暫停充提后，EarnDeFi僅在用戶群中通過小助手發了一紙公告，官網及官方該公告顯示，由于CoinWind緊急關閉了三條鏈上的單幣質押及DAO充提，EarnDeFi用戶在ETH、BTC、USDT池的充提會受到影響。具體多少資金被波及，該公告同樣沒有明說。

從雙方的公告看，機槍池應用CoinWind的投入及收益來源之一是BXH，而EarnDeFi的部分收益耕種區是CoinWind，結果，城門失火，殃及池魚。池是機槍池，魚是這些應用的用戶們。

需要關注的是，很多值得深思的細節問題也在事故發生后浮出水面。

比如，CoinWind官方社群的管理員就表示，他們與EarnDeFi并無關系，雙方沒有合作，也從未收到過對方前來存幣的對接信息，對方自事發后也沒有給出與CoinWind交互的合約地址。有CoinWind用戶認為，EarnDeFi在「甩鍋」，仍在使用該應用的用戶「要小心了」。

EarnDeFi也沒對對方的說法給出更多回應，但從其自身公告看，EarnDeFi作為機槍池「寄生」在另一個機槍池的做法多少顯得很懶惰，一般情況下，交易應用的挖礦池才應該是機槍池們獲取高收益的主要來源，結果CoinWind關充提，EarnDeFi三個主流單幣池就受了影響。

再比如，有用戶對CoinWind將資產投入到屢受爭議的BXH感到不滿，「早知道是投入BXH，我就不再CoinWind存幣了。」用戶有此情緒皆因今年7月，BXH被多家自媒體深扒了主導成員的「不靠譜」行徑，該應用的主導者王小彬被批評連續兩年在區塊鏈領域「發幣、圈錢」、「10個項目全是空氣」，而王小彬此前在互聯網領域創業時曾出現過產品跳票不發貨、公司倒閉、欠薪成老賴被限制消費等「黑歷史」。

有CoinWind用戶認為，將用戶資產投入到團隊有爭議的應用中去賺取收益，已經是風險前兆。

CoinWind社群管理員針對「為什么選BXH機槍」作出解釋稱，他們對BXH做了盡職調研，包括對接入的所有其他池子都會做調研評估，BXH的審計報告沒有問題，且基本是實名項目。「作為機槍池，我們的義務就是選擇收益高且較為可靠的池子投入，這次BXH被攻擊是由于私鑰被盜，就CoinWind而言，這確實屬于人力不可抗因素。」

BXH被盜需要反思自身的私鑰管理問題，而對機槍池來說，至少有一些用戶建議是值得這類收益管理應用們應該考慮的，特別是一個個DeFi應用都在朝著DAO發展時——公開、透明的告知用戶資金配置的去向。

不要以「機密」為由敷衍用戶，配資策略也許是機槍池的生存和競爭的壁壘，但公布資金被分配到了哪些收益耕地中并不太影響機密策略的具體執行，讓用戶知情權和選擇權得到提前滿足，這不正是區塊鏈所倡導的精神嗎？

Tags：BXHCOIOINCOINBXH幣fedoracoincoinbase下載appCyprusCoin

萊特幣