看不見硝煙的網路戰爭黑客與白帽的巔峰對決！
185萬美元的懸賞
北京時間8月7凌晨curve**會發了一條推文動態“給與crv/eth黑客的截止日期已過”，隨後在文內附了乙個鏈上資訊，全文內容為：“curve 漏洞利用中自願返還資金的截止日期已於世界標準時間 0800 點過去。 我們現在將懸賞範圍擴大到公眾，並向能夠以導致法庭定罪的方式識別黑客的人提供價值為剩餘盜取資金（目前為 185 萬美元）10% 的獎勵。
如果黑客選擇全額返還資金，我們將不再追究。請通過[email protected]聯絡我們。”
到底發生了什麼事情讓全球第二大web3**會願意付185萬美元的鉅款發布懸賞，從7月30日算起到現在約一周的時間丟失了7000萬美元是如何追回其中的5000萬美元的，而懸賞文裡面提到的1850萬美元又是怎麼回事，讓我們按照時間線捋一下經過。
curve的暴雷
7月31日vyper發布公告：“psa：vyper 版本。2.16 和 0.3.0 容易受到重入鎖故障的影響。調查正在進行中，但任何依賴這些版本的專案都應立即與我們聯絡。”
vyper是什麼：vyper 是一種相對較新的 python 程式語言，用於編寫智慧型合約。 vyper 的目標是以太坊虛擬機器（evm）。vyper 的語法非常簡單/易懂；vyper 的主要原則之一是讓開發人員幾乎不可能編寫誤導性程式。簡單來說vyper就是一種用於以太坊上的編譯語言。
乙個程式語言發布這樣一條資訊並沒有引起人們多大的關注，但是突然隨後curve引用了這條推文並發表內容：“由於重入鎖故障，許多使用 vyper 0.2.15 的穩定池 (aleth/mseth/peth) 已被利用。我們正在評估情況，並將隨著事態的發展向社群通報最新情況。 其他資金池都是安全的。”
人們這才發現好像出事了，curve隨後被爆出因為乙個vyper的bug導致被黑客攻擊造成了損失，最初估計的損失約為4700萬美元，隨後增加到6100萬，最終在幾天後所有損失被估算出約為7000萬美元約5億rmb。這是在一天的時間左右針對數個curve的資金池的攻擊造成的全部損失，看起來web3賺錢快丟錢更快。
問題到底出在**
這一共5億到底是怎麼丟的，原因是什麼，一共有哪些機構遭受了多少損失，我們來簡單做乙個回顧。
在curve的公告裡面提到了乙個詞“reentrancy”，可以翻譯為重複寫入攻擊。簡單來說就是重複調取乙個數值以達到攻擊目的，比如某人在銀行裡面存有1萬塊，他去取錢這一萬塊錢出來，取出來以後發現自己銀行卡裡面的錢餘額還是有一萬塊，這是因為銀行在取出錢之後記賬系統沒有及時地將這一萬塊消除，還把餘額數字記成了1萬。這個黑客就發現了這個問題，就在一天內取了100次一萬塊，把銀行裡面存有的100萬全部取走了。等晚上銀行對賬的時候才發現了這個巨大的問題，而這個時候錢已經全部被取走了。這就是黑客攻擊的基本邏輯。當然這個問題也很好解決其他很多語言編輯器都會寫乙個叫做“重入鎖”的工具避免出現這個問題，而顯然vyper還是存在這個漏洞沒有解決。
這次事件中影響了alchemix、jpeg'd、metronomedao、ellipsis 和 debridge 專案。超過 450 個礦池因該漏洞而面臨風險。下圖為各defi專案被攻擊的礦池資訊及各自造成的損失。
名詞解釋：alchemix (alcx)：通過自動轉賬進行 defi 借貸。 alchemix 是乙個基於以太坊的去中心化金融 (defi) 借貸平台，貸款會隨著時間的推移自動償還。
jpeg'd：是一種去中心化借貸協議，允許使用者使用不可替代代幣（nft）作為抵押品獲得貸款。
metronome：是乙個 defi 生態系統，旨在擴充套件 defi 的實用性，並為使用者使用合成資產創造新的方式來使用他們的加密貨幣。
ellipsis：是curve finance 在 bnb 鏈上的授權分叉。 它是乙個自動做市商（amm）或交易所，允許使用者和其他去中心化協議以低廉的費用交換代幣。
debridge：是一種跨鏈互操作性和流動性轉移協議，允許在各個區塊鏈之間進行去中心化的資料和資產轉移。
白帽的反擊
在攻擊發生後為了防止專案的崩潰及抵押貸款的清算，curve finance 創始人michael egorov尋找了一些白衣騎士來救場，他將3925萬枚crv代幣**給幾位著名的投資者，包括孫宇晨、machi big brother和dwf labs總價值為 1580 萬美元。買家以每個代幣0.40美元的**購買crv，比當時的市場**有25%的折扣。火幣創始人杜均以400萬美元的**購買了1000萬個crv，a**e chan 創始人 marc zeller出資200萬美元。就在各位大佬為救curve忙得不亦樂乎的時候最大也是最及時的救援發生了。
一位名為c0ffeebabe.eth的神秘人先是發出資訊聲稱自己從黑客手中搶到了約2800個eth並儲存在了冷錢包，之後很快就將這2879個eth打包全部發回給了curve**會。這這些eth一共價值約530萬美元極大地緩解了**會地資金壓力，雪中送炭讓curve能夠得到喘息並全力追回被盜地資金。
面對這位白帽黑客的及時援手眾人紛紛給與讚美及感激。
後來人們通過分析及coffeebabe之前發文的推斷得知此人可能是專業的mev商人，也就是一種板磚套利的礦工，不過他在發現黑客攻擊時還是第一時間選擇了做乙個正義的人，將近3000個eth搶救到手上並返還給**會。後來人們發現了他的推特，留下了祝福和感謝。
而關於他是如何做到這一點的，據以太坊核心開發人員“eric.eth”稱，他們使用的mev機械人注意到記憶體池**現了黑客攻擊，複製了該交易並搶先執行。“為了做到這一點，他們向區塊生產者支付了大量的 eth，讓他們能夠排在前面，”他解釋道。mev 機械人可以看到待處理的清算交易，並提前以折扣價購買清算資產。
資金的回流
8月3日，curve**會聯合metronome、alchemix針對被盜資金宣布了乙個計畫，該計畫提出以被盜資金的10%作為懸賞，任何能夠協助並成功追回被盜資金的組織都將獲得這一獎金。就算扣除白帽返還的資金，這一懸賞也高達500-600萬美金，而且他們還做出承諾，如果資金返還則不會採取任何法律行動，**會表示”我們希望文明地方式解決這個問題“。
8月4日，不到24小時的時間，不知道是因為白帽救援，還是對於無風險賞金方案的贊同，部分攻擊者顯然接受了這個提議並開始陸續返還被盜資金。但是最讓人啼笑皆非的是黑客在塊內留言對於還款行為做了解釋：”我看到一些荒謬的觀點，所以想澄清一下，我退款不是因為你能找到我，而是因為我不想毀了你的專案，也許這對很多人來說是很多錢，但對我來說不是 ，我比你們所有人都聰明，髒話！！！
截至8月7日的中午，約 73%（約 5230 萬美元）的資金已被退回。包含黑客退回及白帽追回。
退回資金明細如下：
alchemixfi 返還全部：2200萬美元（包括 7,258 eth + 4,821 aleth）
jpegd frontrunner追回率90%：1150萬美元（相當於 5,495.4 weth）
metronome（160 萬美元）+c0ffeebabe.eth返回的 crv 池（530萬美元）：700萬美元。
alchemix（白帽行動）：1300萬美元。
尾聲
截至發文時還有約1850萬美元的被盜資金沒有被追回，所以才有了文章開頭那一幕用沒追回的1850萬美元的10%也就是185萬美元作為懸賞，讓大家幫忙協助並提供有用的資訊。很多人說web3機會很多，但是也要注意機會往往伴隨著風險，這個虛擬的世界就像乙個黑暗森林危機與機會並存對於所有人都是一樣。幸好在這個世界中不僅有為非作歹的壞人還有維護正義的使者，你喜歡這樣的世界嗎？歡迎與我們討論，我們也將繼續關注事件的進展給您帶來最新的動態。
狂歡歸來，家被盜！
有沒有聽過這個節日？這可是中國首屆的原創 藝術節啊！三十年來共舉行過四十三次，但這一次的 迷笛節 著實令人驚訝。這一次南陽的 魔笛節 不是靠著 而是靠著一場大型盜竊案！對，就是偷東西！即使是從內衣到線纜，一切都是如此！他們出動了三輪電單車 麵包車和麵包車，難道是急著去採購物資？哪怕是七十多歲的老頭老...
車輛停放小區內被盜引發的糾紛
案例 某日，張先生開車去某小區拜訪朋友，進入大門時，某小區物業服務企業的保安發給他一張車輛臨時出入證，張先生將車停在了朋友樓落車位並鎖好。三個小時後，張先生準備離開時，卻發現停在車位上的車不見了。他立即找到小區保安，並向公安機關報了案。張先生稱他進入小區時，保安發給他的車輛臨時出入證上明確印有規定，...
曬“副處長禮物”博主發文 被盜號
高副處長的禮物 景科長送的小香蕉 有幸在一眾正科和副處級幹部中擁有小小的一席之地 近日，ip位址為江蘇的微博使用者 awhitedrese 發布的系列微博引發廣泛關注。近日，一系列微博文章引起了們的廣泛關注。據微博使用者 awhitedrese聲稱，自己已移民新加坡，並表示其微博賬號被他人惡意盜用。...