DeFi安全史上最黑暗的日子：Chainswap跨链桥20多个项目被盗

今天凌晨，跨线桥项目chainwap再次遭到黑客攻击。部署在桥上的智能合约中的20多个项目代币被黑客窃取，这几乎导致了DeFi开发史上最大的安全事件。

根据几位Twitter用户发布的信息，黑客的地址是0xeda5066780d e29d00dfb54581a707ef6f52d8113。从今天凌晨开始，黑客先后从chainwap cross link bridge合同中盗取了20多个项目代币，涉及项目包括 Antimatter、 Corra、DAOventure、 FM Gallery、Fei protocol、Fair Game、 Rocks 、 PERI Finance、 Strong 、WorkQuest、Dora Factory、Unido、Unifarm、Wilder Worlds、Nord Finance、OptionRoom 、Umbrella、Razor 、Dafi Finance、OroPocket、KwikSwap、Vortex 、Blank 、 Rai Finance 、SakeSwap 等。。

根据ETHerscan和bscscan的数据，黑客的地址通过出售代币已经赚了大约230万美元，价值数十万美元的代币尚未售出。据一些项目方的回应，这可能是因为开发者已经锁定了一些被盗资产，让黑客无法出售。目前，chainwap已暂时关闭跨链大桥。

Twitter用户@Christoph Michel分析了该安全事件，指出每个代币都有一个用于跨链传输的代理契约。当黑客调用合同时，他必须支付0.005 ETH的费用，但在这个过程中没有真正的身份验证检查。只需要一个签名。问题可能是，如果签名者的配额在当天完成，decreaseauthquota函数将恢复。但似乎每个人都从默认配额开始。所以攻击者每次只需要不同的地址签名就可以避免这种情况，然后在_receive 函数中将 volume 参数传输到 to 攻击者地址。

受此事件影响，ASAP、DVG、marter、Nord、dafi、UMB、razor、room等项目代币跌幅均超过40%。目前，已有近10家受影响的项目方在twitter上对此事作出回应，其中不少项目方正准备发行新代币。

Chainswap项目合作伙伴发推特称所有ASAP代币持有人和LP已被快照，将1:1空投新的ASAP代币，包括交换ASAP持有人。

OptionRoom 项目方 发推 表示，chainwap黑客获得了330万个房间代币，但该团队在黑客出售任何代币之前就注意到了黑客的行为，并决定从Uniswap和pancakeswap中移除流动性，以保护代币持有人和流动性提供者不受黑客出售到流动性池的影响。目前，该团队正在处理链上的日志，未来将空投新的代币给房主。

Antimatter 项目方 发推 说，它已经拍下了所有火柴持有人和LP的快照，并将空投一个新的火柴代币1:1，包括交易所的火柴持有人。

Peri finance项目方表示，由于chainwap的漏洞，该团队已经提取了Uniswap和pancakeswap的所有流动性，以防止黑客出售他们获得的代币并耗尽流动性。达菲金融项目方在微博上称，由于受到chainwap跨链桥攻击，黑客卖出了20万达菲，团队将在公开市场回购达菲6个月。同时，该项目提醒社区尽快从UNIX和其他DEX中提取流动性。

Rai Finance 项目方 发推 证实chainwap受到严重攻击，70万Rai被盗取并存入黑客火币账户地址，“请承担交易所Rai价格的临时波动。我们一直与chainwap团队保持联系，并监控情况。”

Unifarm项目方发推特建议我们消除流动性。我们已经在Uniswap和pancake swap上这样做了。我们也要求社区消除他们的流动性，直到这个问题得到解决，”他说，该项目还说，黑客所有的ufarm代币都已锁定开发者的权利，因此黑客不能出售。

DAOventures项目方发推特介绍，由于chainwap遭到攻击，黑客收购并出售了价值4万美元的30万部DVG，该项目将拍摄快照，以补偿受影响的DVG持有者。

早些时候，7月2日，chainwap也遭到黑客攻击。一些用户代币被从钱包中取出，与chainswap进行交互。总损失预计为80万美元。Chainwap表示，已从市场上回购了少量受影响的代币，并退还了合同钱包，其余将由Chainwap财政部全额赔偿。

今年4月早些时候，chainswap宣布，在Alameda research、OK block Dream Fund、NGC ventures、spark digital capital和continue capital的参与下，完成了300万美元的战略融资。目前，chainwap已暂时关闭跨链大桥。