Chainalysis发布的数据显示，单单2022年跨链桥掠夺事件所带来的损失就多达20亿美元。跨链桥安全问题层出不穷，每一次的攻击事件，都引发了行业的关注。对于产品安全问题，跨链桥项目Multichain安全负责人XChang近日就针对该项目的产品安全机制进行了详细的披露，希望借此机会与业内友商和关注跨链桥生态的观察人士分享Multichain的经历。
受攻击事件影响，Zunami Protocol稳定币UZD下跌96.8%:金色财经报道，据行情数据信息，受攻击事件影响，ZunamiProtocol推出的稳定币UZD短时下跌94%，现报价0.03151567美元。[2023/8/14 16:24:22]
据XChang，Multichain的安全策略以攻击事件为时间点分为三阶，即：发生前，发生时，发生后。每个阶段都有对应的应对步骤与策略。
安全团队：获利约900万美元，Moola协议遭受黑客攻击事件简析:10月19日消息，据Beosin EagleEye Web3安全预警与监控平台监测显示，Celo上的Moola协议遭受攻击，黑客获利约900万美元。Beosin安全团队第一时间对事件进行了分析，结果如下：
第一步：攻击者进行了多笔交易，用CELO买入MOO,攻击者起始资金（182000枚CELO）.
第二步：攻击者使用MOO作为抵押品借出CELO。根据抵押借贷的常见逻辑，攻击者抵押了价值a的MOO，可借出价值b的CELO。
第三步：攻击者用贷出的CELO购买MOO，从而继续提高MOO的价格。每次交换之后，Moo对应CELO的价格变高。
第四步：由于抵押借贷合约在借出时会使用交易对中的实时价格进行判断，导致用户之前的借贷数量，并未达到价值b，所以用户可以继续借出CELO。通过不断重复这个过程，攻击者把MOO的价格从0.02 CELO提高到0.73 CELO。
第五步：攻击者进行了累计4次抵押MOO，10次swap（CELO换MOO），28次借贷，达到获利过程。
本次遭受攻击的抵押借贷实现合约并未开源，根据攻击特征可以猜测攻击属于价格操纵攻击。截止发文时，通过Beosin Trace追踪发现攻击者将约93.1%的所得资金 返还给了Moola Market项目方，将50万CELO 捐给了impact market。自己留下了总计65万个CELO作为赏金。[2022/10/19 17:32:31]
1.发生前：
Rari Capital攻击事件受损资金将于24小时内补偿发放:9月21日消息，Fei Protocol核心人员于推特上表示，Rari Capital的Fuse资金池攻击事件受损资金将于24小时内补偿发放。此外表示“低估了局势的复杂性，这种良好的处理结束方式让我们有机会反思和吸取DeFi的教训”。对于被盗事件表示“当DAO持有重要的非原生资产时，Token使用范围需要制定强有力的规范（通过链上执行）。”
此前8月20日，Fei Labs在Tribe DAO治理论坛中提出TIP-121提案，该提案提议将DAO剩余资产分配给TRIBE持有者，并补偿此前在“Rari Capital 在 Fuse上资金池遭黑客攻击”事件中的受损用户。[2022/9/21 7:10:30]
项目通过内部和外部审计方式来排除任何安全隐患。同时，也通过漏洞悬赏调动业内专家帮助发现漏洞，避免造成损失。另外，Multichain也希望通过即将推出的MultiDAO来对产品安全做另一次预防性把关。除此之外，Multichain也利用主要媒体平台的关键词舆论监测来观察业内跨链桥安全问题相关的动态，从中进行自省，监测其他事件的影响是否波及到Multichain的资产。对于大额度的交易，Multichain也实施了跨链金额限制及链资金流量和总量限制，以避免类似Horizon的事件重蹈覆辙。
2.发生时：
攻击事件发生时，关键在于及时拉响警钟，让平台能迅速采取行动。Multichain设置了检测Watchdogs，能够及时反应异常现象。同时，项目也调动DAO的力量，对发现漏洞以及及时将异常现象通报平台的成员发放奖励。
3.发生后：
Mutichain将会暂停产品的使用，以先止损，后修复的形式去应对黑客事件。同时，该项目也进行演习，并在智能合约上设置暂停功能。此外，Multichain也从项目利润中挪出了一部分资金作为安全基金，补偿用户在类似事件中的损失。
ChangX也阐明了多方安全计算的特征能够确保更强的去中心化以及控制成本，而且MPC私钥分片会定期更新作废，进一步防范黑客行为。与此同时，Multichain也与网络基础设置提供商合作，力求营造更安全的产品环境。至于Multichain即将发布的MPCHSM方案，它能够确保在服务器被攻击的情况下，仍旧遏制黑客获取私钥分片。
本文转载自
https://medium.com/multichainorg/multichain-安全策略-详细披露-3c38360bfd0b
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。