『壹』 怎麼洗閃電貸的錢
如果我跟你說，有人不需要你任何抵押物，也不需要做任何信用檢查就可以借給你幾百萬美金，你會怎麼想？
如果我又說，這筆錢只能借給你一秒鍾，你又會怎麼想？
在區塊鏈上的去中心化金融領域，我剛才說的這些並不是逗你玩，而是真實存在的服務。並且已經有人利用這類服務，用少到幾乎可以忽略不計的成本賺取了巨額利潤。
這種服務就是閃電貸Flash Loan。
閃電貸的原理
要理解閃電貸的原理，我們先要了解以太坊交易的原子性。
所謂原子性就是，以太坊的一筆交易是不可分割的最小單位，要麼成功，要麼失敗，不可能成功一半失敗一半。
舉個例子，張三向李四轉一個以太幣。如果交易成功，那麼張三賬戶上少一個以太幣，李四賬戶上多一個以太幣。如果失敗，那張三賬戶不變，李四賬戶也不變。
不可能出現交易成功一半失敗一半，也就是張三少一個以太幣但李四賬戶不變，或者李四多一個以太幣但張三賬戶不變。
我們知道，以太坊的交易除了以太幣轉賬外，還可以調用智能合約。
調用智能合約也具有原子性。如果一個智能合約改變了多個數值，那這個調用如果成功，這些數值都會被改變，如果失敗則這些數值都不會被改變。不會出現一次調用改變了部分數值而另一部分數值保持不變。
更重要的是，如果一筆交易調用了多個智能合約，那所有這些調用也具有原子性，要麼這些調用都成功，要麼都失敗。不會出現部分成功，部分失敗。
閃電貸就是利用了以太坊交易的原子性。
閃電貸規定，你可以從我這里借出任意多的代幣，只要我有。隨便你用它干什麼，但是必須要保證在同一個交易里歸還本金和利息。
由於這筆交易有原子性，要麼成功、要麼失敗。如果成功你還本付息，放貸機構賺利息。如果失敗，就等於這筆操作從來沒有發生過，也就是你從來沒有借過錢。
由於這里我們用技術保證了，放貸機構穩賺不賠，所以就根本不需要抵押物和什麼信用檢查。
而且由於你只是瞬間佔用了這些資金，所以利息是很低的。比如aave每筆閃電貸只收萬分之九的手續費。
由於所有的借和還是在一個交易里瞬間完成，所以這種貸款方式就有了這個名字，閃電貸。
套利
剛才我們講了閃電貸對於放貸機構的好處。那就是穩賺不賠。
那這種只能借一瞬間的貸款對於借款者有什麼用呢？
顯然，你用這些錢去買一套房子，或者進行其它區塊鏈下的投資是不可能的。但是我們可以在一借一還之間，通過調用其它智能合約來賺錢。
一種比較簡單的賺錢方法是套利交易（Arbitrage）。
假設有一種代幣T，它在去中心化交易所DEX A的價格是50USDT，而在去中心化交易所DEX B的價格是55USDT。
那我們就可以構建這樣一筆交易。
從閃電貸合約F中借出100,000USDT
在去中心化交易所DEX A以50USDT的價格買入2000個代幣T
在去中心化交易所DEX B以55USDT的價格賣出2000個代幣T，得到110,000 USDT，賺取差價
還給閃電貸合約F，100,000USDT本金，加利息，假設是100USDT。那剩下的9900USDT就是我們的利潤。
通過以上這波操作，我們只需要付出十幾美元最多幾十美元的以太坊gas費就能空手套白狼，賺取近一萬美元的利潤。大家覺得是不是很妙呢？
閃電貸攻擊
當然，上面那個例子都是假設一切都是理想情況。有經驗的幣圈老韭菜都知道，實際上這種套利機會是很少的。
正當的方法賺不到錢，有人就動歪腦筋，通過不正當的方法賺錢。
有一些黑客就利用某些智能合約的漏洞。他們通過閃電貸獲取資金，然後利用這筆巨資攻擊有漏洞的智能合約竊取利益。這就是臭名昭著的閃電貸攻擊。
在2020年情人節晚上，黑客利用閃電貸和bZx協議的漏洞，用不到100美元的成本獲利超過350，000美元。
攻擊的過程是這樣的。280
黑客從dYdX協議，0成本借出 10,000 ETH ，當時價值2，800，000美元
他把其中的5500ETH抵押到Compound協議借出112WBTC
他又把其中的1300ETH轉入bZx，並用5倍杠桿賣出ETH買入WBTC。bZx為了完成這筆交易，他通過另一個協議kyber network在去中心化交易所uniswap里大量拋出ETH購買WBTC。由於uniswap相應池子深度不夠，導致在uniswap上WBTC/ETH 的價格由正常的38.5被推高到109.8。
然後黑客利用這個被推高的價格，拋出第二步中借出的WBTC，以高於市場平均價兩倍的平均價格：61.4獲得6871ETH
利用這6871ETH加上手裡沒用的3200ETH，還掉從dYdX借出的1000ETH。
這樣僅僅一個交易，黑客手裡憑空多出了71ETH。
這還沒完，大家還記得黑客在compound這條線的操作嗎？黑客之前質押5500ETH最後砸出了6871ETH，用來歸還閃電貸。
但是，歸還閃電貸之後，這5500ETH的倉位還在黑客手裡。
由於其它市場上WBTC/ETH 只有38.5，黑客立馬在其它交易市場用4300ETH換取了112WBTC，從compound里換出了5500ETH的押金，又賺了1200ETH，總共1271ETH。
按當時價格計算，黑客空手獲利$355,880。而他付出的成本只是一些以太坊的gas費，估計不會超過100美元。這簡直都不是空手套白狼，而是空手套大象了。
老實說，看這起攻擊的報告時，我真是忍不住拍案叫絕。雖然君子愛財取之有道。黑客偷錢肯定是不對的，但是他的手法的確是高，實在是高。
這次攻擊，簡單來說就是bZx協議里有個bug沒有檢測出風險，於是用五倍資金在uniswap上把錢對敲給了黑客。
由於發起這類攻擊需要百萬美金級別的資金。如果沒有閃電貸，黑客不容易籌集到如此多資金來攻擊，即使有那麼多錢，黑客可能也不願冒風險，萬一一個手滑攻擊不成，還賠了夫人又折兵。
有了閃電貸，黑客可以憑空借出大量資金，而且如果攻擊失敗，他可以放棄這筆交易回滾所有操作，就當什麼事情也沒發生過，除了一些以太坊gas費，也不會損失什麼。黑客和閃電貸dYdX協議沒有任何風險穩賺不賠，compound協議上也是一次正常的借貸和還款。
倒霉的就是bZx了，誰叫你有bug呢。
總結
從這我們也可以看出，閃電貸攻擊一般並不是攻擊閃電貸，而是利用閃電貸提供的資金攻擊其它有漏洞的去中心化金融協議。
有些人一聽閃電貸攻擊，就以為閃電貸是什麼洪水猛獸，把閃電貸批評一通。我說這純粹是瞎比比。
我認為閃電貸用技術手段提供了無風險借貸，提高了資金利用率，這絕對是一種創新。
黑客用它來干壞事，壞的是黑客而不是閃電貸。就好像壞人借了銀行錢去干壞事，你總不能罵銀行吧。
聽了我講那麼多，你是不是有點心潮澎湃，也想用閃電貸套個白狼啥的？
不過利用閃電貸需要編寫智能合約代碼，有一定的技術門檻。要想賺錢，先學寫代碼吧。
『貳』 閃電貸攻擊解讀
如何防範閃貸攻擊？img=' https://P3 . toutiaoimg.com/large/PGC-image/rrzyiw 2 HF 9 Q1 TN '/(奧維的教堂，梵高)
一句話總結，這些攻擊都很「華麗」。在每一次攻擊中模攜，攻擊者都是在不花一分錢的情況下，立即借入數十萬美元的ETH，然後通過一系列脆弱的鏈式協議賺取數十萬被盜資金，最後以巨額歸還所借的ETH貸款。這一切都發生在一瞬間。即在單個以太坊交易中完成。
封面來自卡邁恩因凡蒂諾。
我們不知道這些攻擊者是誰，也不知道他們來自哪裡。他們空手而來，不留痕跡地帶走了價值幾十萬美元的東西。
在這些攻擊之後，我一直在思考閃貸及其對DeFi security的影響。我覺得值得開誠布公的思考。簡而言之，我認為閃貸對DeFi來說是一個巨大的安全威脅。然而，閃貸不會消失，我們需要仔細考慮它們對未來DeFi安全的影響。
什麼是閃貸？
閃貸的概念最早是由Marble Agreement的創始人Max Wolff在2018年提出的。Marble自稱是市場上的「智能合約銀行」。其產品非常簡單，但在DeFi方面極具創新性：通過智能合同實現零風險貸款。(藍狐註：關於什麼是閃貸，請參考之前的文章《加密閃貸：互聯網貨幣的神奇新發明》 《閃貸策略：攻擊者能取走Maker的7億美元抵押品嗎？》 《bZx事件的啟示》)
怎麼會有零風險貸款？
傳統貸款機構承擔兩種形式的風險。第一，違約風險：如果借款人跑路，那就太可怕了。貸款人的第二個風險是流動性不足的風險：如果貸款人在錯誤的時間貸出了過多的資產或未能及時收回還款，貸款人可能會意外缺乏流動性，無法履行義務。
快速貸款減輕了這兩種風險。閃貸基本上是這樣運作的：我在一次交易中借給你你想要的錢數。不過，在這次交易結束之前，你至少要把我借給你的錢還了。如果你不能做到這一點，我會自動回滾您的交易。是的，智能合約可以做到這一點。
簡而言之，你的閃貸是原子性的：如果你不能償還貸款，整個事情就會恢復，就像貸款從未發生過一樣。這種事情只能發生在區塊鏈。比如，你不能在BitMEX上閃付你的貸款。這是因為智能合約平台一次只能處理單筆交易，所以單筆交易中發生的所有事情都是作為批處理按順序執行的。你可以把它想像成事務執行過程中的「凍結時間」。另一方面，集中交易所可能存在競爭，使你的訂單無法履行。在區塊鏈上，可以確保你所有的代碼都按順序運行。
所以讓我們考慮一下經濟學。傳統貸款人的補償方式有兩種：他們所承擔的檔陵風險(違約風險和流動性風險)，以及借出其資本的機會成本(比如，如果我在別處可以獲得2%的利息，那麼借款人必須向我支付超過2%的無風險費用)。
閃貸不一樣。從字面上講，閃貸沒有風險，沒有機會成本。這是因為借款人在其閃貸期間「凍結了時間」。所以，在別人看來，體制內的資本從來都是沒有風險和負擔的，在別處賺不到利息(也就是沒有機會行碼戚成本)。
從某種意義上說，這意味著做閃貸的出借人是沒有成本的。這是非常違反直覺的。那麼，在均衡狀態下，閃貸的成本應該是多少？(藍狐註：當我們在這里談論均衡時，我們指的是當我們充分競爭、成熟和穩定時)
基本上閃貸應該是免費的。或者，更恰當地說，支付一小筆費用來分擔包含額外三行代碼的成本，這三行代碼使資產可用於flash lending。
雷姆科布洛曼
閃貸不能收取傳統意義上的利息，因為這類貸款的有效期為零(任意APR*0=0)。當然，如果閃貸人收取更高的費用，他們很容易被其他收取更低利率的閃貸池超越。
快速貸款使資本成為真正的商品。這種競爭必然導致零收費或者微不足道的象徵性收費。DYdX目前對閃貸零手續費。另一方面，AAVE對閃貸收取本金的0.09%。我懷疑這是不可持續的。事實上，他們社區中的一些人已經呼籲將成本降低到零。(請注意，這兩次攻擊都沒有將AAVE作為他們的快速貸款池)
貸款有什麼用？
閃貸最初的宣傳是基本用於套利。大理石的公告聲稱：
「通過閃貸，交易者可以從大理石銀行借錢，然後在一個DEX上買入代幣，在另一個DEX上以更高的價格賣出代幣，然後將錢返還給銀行，在單個原子交易中獲得套利收益。」
事實上，從交易量來看，到目前為止，大多數閃貸都用於此類套利。
快速貸款在AAVE的使用。出發地：AAVE
但是，交易量小。自AAVE閃貸業務推出以來，其貸款金額僅為1萬美元。與DeFi的套利和清算市場相比，這是微不足道的。
這是因為大多數套利者是由運行復雜機器人的競爭性套利者執行的。他們參與連鎖優先天然氣拍賣，並使用天然氣代幣來優化交易成本。這是一個競爭非常激烈的市場，這些人非常樂意在資產負債表上保留一些代幣，以優化他們的回報。
另一方面，從AAVE借錢要花80kgas，並收取本金的0.09%，這對爭奪微小差價的套利者來說是個高價。事實上，在大多數AAVE套利交易中，借款人最終支付給借款池的錢比他們從套利中獲得的錢要多。
長期來看，除非有特殊情況，套利者不太可能利用閃貸進行套利。但在DeFi中，閃貸還有其他更引人注目的使用案例。一個例子是貸款再融資。例如，假設我有一個創客金庫(藍狐註：即抵押債務
務頭寸），其中鎖定了100美元的ETH，我從中借出了40 DAI的貸款，也就是說，除去債務，我還有60美元的凈頭寸。現在，假設我想在Compound再融資以獲得更好的利息。通常，我需要回購40 Dai來關閉我的CDP，這需要一些前期資金。而現在的可替代方法是，我可以通過閃貸借出40 Dai，關閉100美元的CDP，然後將解鎖的價值60美元的ETH存入Compound，通過Uniswap將剩餘的價值40美元的ETH換成Dai，然後用它償還閃貸。Boom！原子性的0資本再融資。
這真是太神奇了。這是貨幣樂高運作的很好例子。1x.ag實際上構建了一個保證金交易匯聚器，該匯聚器使用閃貸自動執行這一切。但是閃貸可以很酷，bZx攻擊者向我們展示了它們不僅是好玩和游戲。
閃貸攻擊對安全性有重大影響
我越來越相信，閃貸真正解鎖的是閃貸攻擊，一種由閃貸提供資金的資本密集型攻擊。在最近的bZx攻擊事件中，我們第一次看到這一現象，而我懷疑這只是冰山一角。
閃貸對攻擊者尤其有吸引力的主要原因有兩個：
很多攻擊需要大量前期資金（例如預言機操縱攻擊）。如果你在賺取價值1000萬美元ETH的正向投資回報，則可能不是套利——你可能會說這是在扯淡。
你可能不太喜歡交易所黑名單是如今區塊鏈安全模型的一部分。這是非常黏糊且中心化的。但這是一個重要的現實，它為這些攻擊提供演算信息。
在比特幣的白皮書中，中本聰宣稱比特幣有免遭攻擊的安全，因為：「攻擊者應該會發現，遵守規則...比破壞系統和其財富的有效性更有利可圖。」
有了閃貸，攻擊者不再需要有利益參與其中。（藍狐筆記：也就是說，破壞系統不會影響攻擊者的自身利益，因為攻擊者沒有利益相關）。閃貸實質上改變了攻擊者的風險。請記住，閃貸可以累積！受制於gas limit，實際上，你可以在單個交易中（最高可達5000萬美元 ）匯聚各個閃貸池，並將所有資金集中湧入一個脆弱的合約中。這是一個5000萬美元的攻城錘，現在任何人都可以猛擊任何鏈上的彩陶罐。這實在恐怖。
當然，僅憑你很有錢還無法攻擊協議。如果DeFi堆棧如它宣稱的那樣安全，所有這些都不是問題——什麼類型的協議對巨鯨來說是不安全的？你可能會說，沒有考慮這一點就是過失。
但是，我們承認以太坊自身也可能會遭受51%的攻擊，當前的攻擊成本是每小時不到20萬美元。這不算非常多的資金。如果以太坊自身的安全模型都基本上是構建在資本限制上，那麼，為什麼我們要如此快地去嘲笑可以被1000萬美元成功攻擊的DeFi使用？（明確地說，我不認為這些數字——這一數字方便地忽略了滑點和供應不足——加上共識層安全和使用層安全是兩碼事。但你明白這個意思。）
那麼，如何減輕閃貸攻擊？
假設我是DeFi協議，我想避免被閃貸攻擊。自然的可能問題是，我能否檢測到與我交互的用戶是否在使用閃貸？
簡單答案是：不。
EVM並不允許你從任何其他合約中讀取存儲。因此，如果你想知道其他合約正在發生什麼，則可以通過該合約告訴你。因此，如果你想知道是否閃貸合約在被使用，你必須直接詢問合約。如今，很多借貸協議並沒有對這種查詢做出響應（而且一般來說，也沒有辦法強迫閃貸借貸者的行為）。另外，即便你試圖檢查，通過使用代理合約或通過串聯閃貸池也容易誤導此類查詢。簡單來說，通常很難辨別一個存儲用戶是否在使用閃貸。
簡言之，如果有人拿著1000萬美元敲你合約的前門，你無法判斷這是否是他們自己的錢。那麼，我們有什麼真正的選擇可以防止閃貸攻擊？我們可以考慮如下幾種方法。
說服閃貸借貸池停止提供服務。
哈，開玩笑。這是加密世界，你們懂的！
認真地說，試圖讓借貸池停止提供閃貸就像是試圖停止噪音污染——這是典型的公地悲劇。提供閃貸符合每個協議的自身利益，且出於合理原因，它們的用戶也希望使用這一功能。因此，我們盡可忽視這一條。閃貸並不會消失。
強制關鍵交易跨兩個區塊進行
請注意，閃貸允許你在單個交易時間段內借入資金。如果你需要一個資本密集型交易跨越兩個區塊，那麼，用戶必須取出至少兩個區塊的貸款，由此擊敗任何閃貸攻擊。（注意：為此，用戶必須將其資產鎖定在兩個區塊之間，以防止他們償還貸款。如果你沒有正確地考慮設計，則用戶可能只是在這兩個區塊中實施閃貸攻擊）
顯然，這會帶來巨大的UX權衡：它意味著交易不再是同步的。它對普通用戶來說極其糟糕，這是很難下決心採取的措施。（藍狐筆記：為了防止閃貸攻擊，導致用戶體驗糟糕，顯然是下策）
很多開發者對非同步智能合約操作感到煩惱，例如，與layer 2的交互，以及以太坊2.0的跨分片通信。具有諷刺意味的是，非同步其實讓這些系統在應對閃貸時更安全，因為你無法在單個原子交易中橫跨分片或layer 2。這意味著不會有跨ETH2.0分片或在layer 2針對DEX的閃貸攻擊。
要求提供鏈上證明，以證明用戶的先前余額並沒有因為閃貸而改變
如果能有方法檢測出用戶真實的余額多少（也就是他們獲得借款之前的余額），我們就可以擊敗閃貸攻擊。
無法在EVM中本地執行此操作，不過，你可以做點帶有黑客意味的事情。這就是你要做的：
在用戶與你的協議交互之前，你要求提供可以證明之前區塊末尾的Merkle證明，他們有足夠的余額來解釋他們當前使用的資金。你需要對每個區塊上的每位用戶跟蹤這一點。（Ari Juels向我概述了此方法）
這種方法可能有些效果。當然，它也存在棘手問題：在鏈上驗證這些鏈上證明非常昂貴，並且沒有用戶會想要生成這些證明以及為此支付gas費用。另外，出於完全正當理由，用戶有可能在早些時候在同一區塊中已更改了余額。因此，從理論上它有一些優點，但這不是一個切實的解決方案。
以上提到的三個解決方案沒有一個有特別的希望。我相信，沒有針對閃貸攻擊的全面防禦措施。但是，有兩個特定的使用確實可以緩解閃貸攻擊：基於市場價格的預言機和治理代幣。
對於像Uniswap或OasisDEX這樣的基於市場的價格預言機，閃貸攻擊使得你在任何情況下都不能將當前的中間市場價格用作為預言機。對於攻擊者來說，在單個交易中移動中間市場價格並製造閃崩、破壞價格預言機，這是孩子的玩法。
這里最好的解決方案是通過TWAP或VWAP使用最後X個區塊的加權平均值。Uniswap v2將原生提供這一點。還有Polaris，這是通用的方法，可以為DeFi協議提供移動平均值。具有諷刺意味的是，Polaris也是由Marble的創始人Max Wolff構建的。（Polaris現在已經被拋棄，但Max看到了這一角落的東西，值得贊）
鏈上治理本身就是自己罐頭里的蠕蟲。鏈上治理通常由治理代幣持有者之間的代幣加權投票決定。但是，如果這些治理代幣出現在閃貸借貸池中，那麼，任何攻擊者可以撿起大量的治理代幣並搞出任何他們想要的結果。
當然，大多數治理協議都要求在投票期間鎖定這些代幣，以防止閃貸攻擊。但是，有些形式的投票並不要求這些，例如carbon投票，或Maker的執行合約。如今，隨著閃貸攻擊的出現，這些形式的投票應該認為完全遭到破壞。
理想情況下，如果治理代幣不可用來閃貸，這就很好。但是，這不取決於代幣的發行方，而是取決於市場。因此，所有治理行為應該要求鎖定，以防止閃貸攻擊。Compound的新COMP代幣更進一步，它對所有協議投票都要求基於時間的加權，甚至削弱針對其治理代幣的常規貸款攻擊。
更廣泛地說，所有治理代幣必須有時間鎖。時間鎖要求所有治理決定必須等待一段時間才能生效（Compound的時間鎖是兩天）。這使得系統可以從任何意料之外的治理攻擊中恢復。盡管MKR還無法被大量閃貸，MakerDAO最近因為易受此類攻擊而被號召實施措施。它最近實施了24小時的時間鎖，關閉了此類攻擊向量。
從長遠看，這一切意味著什麼？
我相信bZx攻擊改變了這一切。
這不會是最後一次閃貸攻擊。第二次bZx攻擊是對第一次的模仿，而且我懷疑在未來幾個月會掀起一波攻擊浪潮。現在，來自世界最遙遠角落的成千上萬名聰明少年正在嘲笑所有這些DeFi樂高，他們在顯微鏡下觀察，試圖發現可以實施閃貸攻擊的方法。如果他們設法成功利用漏洞，那麼，他們就可以賺取幾十萬美元，這在世界上的大部分地區都是可以明顯改變生活的。
有人稱閃貸並不會改變任何東西，因為如果攻擊者有足夠資金，這些攻擊總是可能的。這既正確又相當不正確。大多數鯨魚都不知道如何黑智能合約，而大多數聰明的攻擊者也沒有數百萬美元的資產。（藍狐筆記：此處是說，兩者的交集不大。同時具備兩者的是最可怕的攻擊者。但閃貸到來讓攻擊者獲得了免費的利器）現在，任何人僅花費幾分錢就可以租用一個價值5000萬美元的毀滅球。從現在開始這改變了每個建築被構建的方式。
在bZx攻擊之後，被閃貸攻擊就像是在DAO攻擊後被重入攻擊一樣令人尷尬：你不會得到人們的同情。你應該了解這一點。
最後，這些事件讓我想到加密貨幣的一個古老的概念：礦工可提取的價值。礦工可提取的價值是礦工可以從區塊鏈系統中提取的價值。這包括區塊獎勵和交易費用。但它也包括更多惡意形式的價值提取。例如對交易重新排序或將無賴交易插入區塊。
從根本上講，你應該將所有這些閃貸攻擊都視為是在內存池中可以賺取大量金錢的單個交易。例如，第二次bZx攻擊產生了價值64.5萬美元ETH的收益。如果你一位礦工，你打算開始挖新區塊，請想像一下，查看先前的區塊交易，並對自己說：「等等，那是什麼？當最後一個區塊包含64.5萬美元的利潤時，我為什麼還要打算為區區500美元左右的收益挖新區塊呢？」你不會選擇去擴展區塊鏈，而是回去並試圖重寫歷史，以使自己成為閃貸攻擊者。想想看：僅此一筆交易就比4小時誠實地開采以太坊來得多！
這與包含1000倍於常規區塊獎勵的特殊超級區塊是同構的，正如你預期的那樣，這樣的超級區塊的理性結果應該是礦工競相競爭以孤立鏈的打賞並為自己偷取該區塊。
在均衡狀態下，所有閃貸攻擊應該最終會被礦工提取。（請注意，他們也應該會最終竊取所有鏈上套利和清算）具有諷刺意味的是，這會阻止閃貸攻擊的發生，既然它會導致攻擊者無法利用這些漏洞來獲利。或許最後礦工會通過私人渠道徵集攻擊代碼，並向潛在的攻擊者支付發現者費用。從技術上講，可以使用零知識證明無須信任地完成此類操作。
但這一切現在都還是科幻小說。顯然礦工今天還沒有這么做。
他們為什麼不呢？
有大量的原因。它很難，需要很多工作。EVM很難模擬，它有風險，可能會有漏洞導致損失資金或孤塊，流氓礦池可能會面臨PR危機，被人們冠以「以太坊敵人」的烙印。就目前來看，相對於這么做的收益，礦工可能會在業務、R&D以及孤塊上損失更多。
今天是如此。未來不一定永遠如此。
這為以太坊提供了另外一個動力，以加速並過渡到ETH2.0。盡管以太坊上的DeFi總是很有趣，但它是絕對和不可撤銷的。DeFi在PoW鏈上不穩定，因為所有高價值交易都受制於礦工的重新分配（也稱時間劫匪攻擊）。
為了讓這些系統大規模運行，你需要最終性——讓礦工無法重寫已確認的區塊。這將保護先前區塊的交易免遭重新分配。此外，如果DeFi協議存在於單獨的ETH2.0分片中，它們不容易遭到閃貸攻擊。
據我估計，閃貸攻擊給我們一個小的但有用的提醒，那就是現在還很早期。我們還遠沒擁有可持續的架構，一個可為未來金融系統構建的架構。
目前，閃貸會是新常態。也許從長期看，所有以太坊上的資產都可用於閃貸：交易所持有的所有抵押品，Uniswap中的所有抵押品，也許所有ERC-20代幣本身。
誰知道呢？這只是幾行代碼的事。
『叄』 不需要抵押的DeFi，了解一下
DeFi最近幾年異常火熱，尤其是隨著基於以太坊的MakerDAO的發展，越來越多的DeFi項目出現。DeFi已經成為目前最能夠實現落地的DApp。
DeFi簡單來說就是利用區塊鏈技術實現傳統金融服務的自動化和無中介化，世界上的任何人都可以使用，規則透明，方便快捷。
目前的借貸服務，基本都是需要抵押質押物的，通過質押一定數量的資產，獲得借款的金額。但這對借貸提出了一定的門檻，那麼，有沒有不需要抵押就可以借貸的DeFi呢？答案是顯而易見的，有！
目前，Token Pocket推出了一款無需抵押即可借貸的"閃電貸"業務。
閃電貸顧名思義，就是快速實現貸款，這里還有一層意思，即在一個EOS交易中完成借款與還款，是的，借款與還款要在"一個交易"中完成。借款人還款的時候需要支付一定的手續費，目前為萬分之三，當整個交易達成條件時，將會成功執行，否則交易會被回滾。
那麼閃電貸是如何運行的呢？
你可以通過智能合約進行代幣的出借與借款；當你出借某代幣Token的時候，你會獲得對應比例的計息代幣tToken，tToken的獲得量根據公式獲得，如下 (以EOS為例)：
△TEOS = △EOS * (TEOS / EOS)
獲得的tToken可以進行自由的買賣交易，也可以根據公式換回你的原幣，公式如下：
△EOS = △TEOS * (EOS / TEOS)
在閃電貸中，任何人都可以對該流動性池子進行貸款，然後用於與其他智能合約（如PizzaSwap, EOSDT, NewdexSwap, DApp等）進行交易，並在一個交易內將貸款還回閃電貸合約。
歸還貸款的時候，除了借款額度以外，還需要支付一定的手續費，否則整個交易都會被回滾，像從來沒有發生過一樣。
閃電貸的益處
閃電貸是去中心化金融DeFi的重要組成部分，最顯而易見的一個好處，人們無需在進行高額抵押進行貸款；其還帶動了整個去中心化金融生態的流動性。
相信看到這里大家已經知道，閃電貸的貸款是需要一定的技術門檻的，那麼對於普通用戶，怎麼使用呢？做為普通用戶，我們可以存入原Token獲得tToken，並在tToken價值上漲的時候將tToken賣出獲得更多的原Token，以此獲得收益。
閃電貸的一些使用場景
閃電貸在去中心化金融DeFi中有不少使用場景，下面舉幾個較為常見的例子，並對其中一兩個例子進行過程講解：
去中心化交易所之間套利
多種借貸平台上進行平倉
進行CDP套利（再融資）
去中心化交易所間套利
① 從閃電貸中借到 100 USDT
② 到Newdex用 100 USDT 購買得到 30 EOS
③ 將得到的 30 EOS 到鯨交所中賣出，得到 102 USDT
④ 將貸款額度 100 USDT 及 0.03 USDT手續費還給閃電貸，貸款結束
從這個場景中，你通過閃電貸收獲 1.97 USDT的利潤。而你並沒有提供抵押物作為借款保證。
再融資
比如你在借貸合約A抵押了EOS獲得了USDT，利率為10%；然後你發現有一個利率為5%的借貸合約B，你就可以通過閃貸借到USDT還給A，取回你的EOS，並將EOS抵押到B，借到USDT，再將USDT還給借貸合約。通過這樣的方式，你就將自己的借貸利率從10%，降到了5%。
閃電貸利用EOS的高性能，在一個交易中完成借款與還款，從而實現了無抵押貸款。這對於去中心化金融的流動性有著非常重要的作用。
對於高端玩家來說，你可以無需任何抵押即可借貸，零成本借貸，在DeFi的世界裡尋找無數獲利機會，只要你能找到機會，閃電貸隨時可以為你提供貸款服務。對於普通用戶，你可以將資產出借到閃電貸中，零風險獲得利息，無數高端玩家在DeFI市場為你尋找獲得利潤的機會，而你可以坐享其成，又無需擔心資產安全問題。
出貸方無風險收息，借入方無成本獲利，無抵押的DeFi產品，讓我們一起感受區塊鏈技術帶給我們的魅力！
『肆』 SAFEIS安全報告：加密史上十大被盜事件梳理及應對策略
2008年全球金融危機因為中心化世界的種種弊端而爆發並進而席捲全球，為了消除這些弊端，中本聰創立了比特幣網路，區塊鏈也因此誕生。
為了提高整個網路以及交易的安全性，區塊鏈採用分布式節點和密碼學，且所有鏈上的記錄是公開透明、不可篡改的。最近幾年，區塊鏈獲得長遠發展，形成了龐大的加密生態。
然而，區塊鏈自問世以來，加密貨幣騙局頻發並有愈演愈烈之勢，加密貨幣也無法為用戶的資金提供足夠的安全性。此外，加密貨幣可以匿名轉移，從而導致加密行業的重大攻擊盜竊事件頻發。
下文將梳理剖析加密史上十大加密貨幣盜竊事件，以及防範加密資產被盜的六大實用策略。
1.Mt. Gox 被盜事件
Mt. Gox 被盜事件仍然是 歷史 上最大的加密貨幣盜竊案，在 2011 年至 2014 年期間，有超過 85 萬比特幣被盜。
Mt. Gox 聲稱導致損失的主要原因是源於比特幣網路中的一個潛在漏洞——交易延展性，交易延展性是通過改變用於產生交易的數字簽名來改變交易的唯一標識符的過程。
2011 年 9 月，MtGox 的賬戶私鑰就已泄露，然而該公司並沒有使用任何審計技術來發現漏洞並預防安全事件的發生。此外，由於 MtGox 定期重復使用已泄露私鑰的比特幣地址，導致被盜資金損失不斷擴大，到 2013 年中，該交易所已被黑客盜取63萬枚比特幣。
許多交易所會同時使用冷錢包和熱錢包來進行資產的存儲和轉移，一旦交易所的伺服器被黑，黑客便可以盜取熱錢包裡面的加密資產。
2.Linode被盜事件
加密網路資產託管公司Linode主要業務就是託管比特幣交易所和巨鯨的加密資產，不幸的是，這些被託管的加密資產儲存在熱錢包中，更為不幸的是，Linode 於 2011 年 6 月遭到黑客攻擊。
這導致超過5萬枚比特幣被盜，Linode的客戶損失慘重，其中，Bitcoinia、Bitcoin.cx以及Gavin Andresen分別損失43000枚、3000枚和5000枚比特幣。
3.BitFloor被盜事件
2012 年 5 月，黑客攻擊 BitFloor 並盜竊了24000枚比特幣，這一切源於錢包密鑰備份未加密，才使攻擊者輕而易舉獲得了錢包密鑰，並進而盜取了巨額加密資產。
被盜事件發生後，BitFloor 的創建者 Roman Shtylman 決定關閉交易所。
4.Bitfinex被盜事件
使用多重簽名賬戶並不能完全杜絕安全事件的發生，Bitfinex接近12萬枚巨額比特幣資產被盜事件就證明了這一點。
2022年6月份，2000萬枚OP代幣就是以為不恰當使用多重簽名賬戶而被盜。
5.Coincheck被盜事件
總部位於日本的 Coincheck 在 2018 年 1 月被盜價值 5.3 億美元的 NEM ( XEM ) 代幣。
Coincheck事後透露，由於當時的人員疏忽，黑客能夠輕易訪問他們的系統，且由於資金保存在熱錢包中並且安全措施不足，黑客能夠成功盜取巨額加密資產。
6.KuCoin被盜事件
KuCoin 於 2020 年 9 月宣布，黑客盜取了大量的以太坊 ( ETH)、BTC、萊特幣 ( LTC )、Ripple ( XRP )、Stellar Lumens ( XLM )、Tron ( TRX ) 和 USDT等加密資產。
朝鮮黑客組織 Lazarus Group 被指控為KuCoin被盜事件的始作俑者，這次被盜事件造成了2.75 億美元的資金損失。幸運的是，該交易所收回了約2.7億美元的被盜資產。
7.Poly Network被盜事件
Poly Network被盜事件是有史以來最嚴重的加密貨幣盜竊案之一，2021 年 8 月，一位被稱為「白帽先生」的黑客利用了 DeFi 平台 Poly Network 網路中的一個漏洞，成功竊取了Poly Network上價值約 6 億美元的加密資產。
Poly Network被盜事件蹊蹺的是，自被盜事件發生後，「白帽先生」不僅與Poly Network官方保持公開對話，而且還於一周後歸還了所有被盜的加密資產。「白帽先生」因此獲得50萬美元的獎金，並獲得了成為 Poly Network 高級安全官的工作機會。
8.Cream Finance被盜事件
2021 年 10 月，Cream Finance發生安全事件，被黑客盜取價值1.3 億美元的加密資產。這是 Cream Finance 今年發生的第三起加密貨幣盜取事件，黑客在 2021 年 2 月盜取了 3700 萬美元的加密資產，在 2021年 8 月盜取了 1900 萬美元的加密資產。
本次被盜事件是通過閃電貸攻擊的方式完成的，攻擊者使用 MakerDAO 的 DAI 生成大量 yUSD 代幣，同時還利用 yUSD 價格預言機來完成閃電貸攻擊。
9.BadgerDAO被盜事件
2021 年 12 月，一名黑客成功從DeFi 項目 BadgerDAO 上的多個加密貨幣錢包中竊取資產。
該事件與通過Cloudflare將惡意腳本注入網站用戶界面時的網路釣魚有關。 黑客利用應用程序編程介面 (API) 密鑰竊取了 1.3 億美元的資金。API 密鑰是在 Badger 工程師不知情或未經許可的情況下創建的，用於定期將惡意代碼注入其一小部分客戶端。
然而，由於黑客未能及時從Badger提取資金，因此大約 900 萬美元加密資產得以追回。
10.Bitmart被盜事件
2021 年 12 月，Bitmart 的熱錢包遭到黑客攻擊，約 2 億美元加密資產被盜。研究發現，約1 億美元的加密資產是通過以太坊網路盜取轉移的，另外接近1億美元是通過幣安智能鏈網路盜取轉移的。
此次被盜事件涉及20多種代幣，包括比特幣等主流幣，和相當數量的山寨幣等。
保護加密資產的最佳方法是重視錢包的加密保護和安全的私鑰存放方式，以及對市場上的項目進行深入的研究和辨識，避免踏入攻擊者的陷阱。
由於區塊鏈的不可篡改和不可逆性，一旦錢包私鑰泄露，加密資產被盜便不可避免並無法追回。
防範加密資產被盜的六大實用策略：
1.使用冷錢包
與熱錢包不同，冷錢包不連接互聯網，因此不會受到網路攻擊。私鑰存儲在冷錢包中可有有效保護加密資產。
2.使用安全網路
在交易或進行加密交易時，僅使用安全的網路，避免使用公共 Wi-Fi 網路。
3. 資金分散到多個錢包中
雞蛋不要放到同一個籃子中，這句話在金融領域和加密領域都十分受用。
將加密資產分發到不同的多個錢包中，這樣可以在遭受攻擊時，將損失降到最低。
4. 提高個人設備安全性
確保個人設備安裝了最新的安全軟體，以防禦新發現的漏洞和網路攻擊，並且開啟防火牆來提高設備的安全性，以避免黑客通過設備系統安全漏洞來進行攻擊。
5.設置強密碼並定期更改
在談論安全性時，我們不能低估強密碼的重要性。很多人在多個設備、應用程序社交媒體帳戶和加密錢包上使用相同的密碼，這大幅增加了加密資產被盜的幾率。
防止被盜需要錢包賬戶建立一個安全等級較高的強密碼，這個強密碼需要具有獨特性，並養成定期更改的習慣。此外，選擇雙重身份驗證 (2FA) 或多重身份驗證 (MFA) 可以提高安全性。
6. 謹防釣魚攻擊
通過惡意廣告和電子郵件進行的網路釣魚詐騙在加密貨幣世界中十分猖獗。在進行加密交易時要格外小心，避免點擊任何可疑和未知鏈接。
應當始終檢查核實有關加密投資的相關信息和網站的URL，尤其是這些信息極具誘惑力且不合常理時，比如，項目方官方通過Didcord等渠道私聊信息，當然，項目方Didcord被攻擊的安全事件的頻繁發生，這時的惡意鏈接可能是在公共頻道中而不是私聊界面，這種情況下，多渠道檢查核實有關加密投資相關信息的真實性就顯得格外重要了！
SAFEIS是國際知名的創新型區塊鏈生態安全服務平台，基於 數據、 智能、網路安全、圖計算等多種核心技術打造，具有完備的數據處理和精準追溯能 ，服務對象涵蓋全球諸多知名公司和項目。
「讓區塊鏈更安全」是一個光榮使命，我們將踐行光榮使命、續航嶄新征程。
『伍』 ag區塊鏈到底出現了什麼漏洞
終端漏洞風險：
這里的終端指的就是電腦、手機、平板等這些可以接觸到區塊鏈的終端設備。這大概是區塊鏈本身之外最有可能存在的安全漏洞之一。