有人用闪电贷实现了一次治理操纵。
撰文：LeftOfCenter
闪电贷作为一种套利工具，可被用来实现以极低甚至零成本在各个DeFi协议之间进行高额套利，甚至利用可组合性的漏洞进行黑客攻击盗取巨额资金。从去年开始，陆续发生的多起闪电攻击事故已证明了其可行性，可以说，闪电贷攻击就像一颗定时炸弹，已成为DeFi的巨大安全隐患。
然而，最近发生在MakerDAO社区的一起治理投票让我们意识到，闪电贷除了用于黑客攻击让用户产生直接的经济损失之外，还可以被用于实现恶意治理操纵，即通过闪电贷「凭空」取得大部分选票，几近以零成本花销变更治理规则让自己受益，从而让用户产生间接的经济损失。
Crypto.com旗下利息赚取平台Crypto Earn删除了DOGE等15种代币:6月28日消息，随着熊市的继续，Crypto.com周一宣布将从其利息赚取平台Crypto Earn中删除15种加密货币，其中包括DOGE、SHIB、XTZ、MKR、EOS、OMG、FLOW、KNC、ICX、COMP、BIFI、ONG、GAS、STRAX以及BNT。公告中没有说明为什么要删除这些特定的代币。
不过，Crypto Earn新增了ZIL、NEAR和 FTM。Crypto.com还修改了TGBP、TAUD、TCAD、TUSD和USDP五种稳定币的奖励率。（Decrypt）[2022/6/28 1:35:50]
闪电贷和黑客攻击
Terra创始人Do Kwon：除了中本聪，我们将是全球最大的BTC单一持有者:3月30日消息，Terra创始人Do Kwon近期在接受Fungible Times采访时表示，算法稳定币是创造互联网原生货币的唯一方式，但目前也需要外部资产储备，例如比特币。此外，DoKwon表示他之所以将UST的比特币储备增加至100亿美元，其原因在于Terra的目标是成为除中本聪外全球最大的BTC单一持有者。在这种情况下，UST的失败将等同于加密本身的失败。[2022/3/30 14:26:28]
「闪电贷」这种诞生在DeFi世界的新物种，无需任何抵押物，只要借贷和还款在一个区块时间完成即可。这会让聪明的开发者脑洞大开，开发出全新的DeFi应用，然而，在带给我们惊喜的同时，闪电贷也在慢慢在打开一个DeFi的潘多拉魔盒。自去年以来，已有多起闪电贷黑客攻击事件发生，DeFi协议中的大量资金被盗。
ETC Labs首席执行官：ETC除了上涨外别无选择:2020年8月9日至11日，第五届以太坊社区开发者大会正式启动。ETC Labs首席执行官Terry Culver 受邀参与本次活动，发表了题为《以太坊经典的坚韧性》的主题演讲。演讲中Terry Culver就ETC遭受的51％攻击事件展开了详细的事件描述，并进行了问题分析，同时分享了事件发生后团队进行的有效解决措施。据悉，ETC Labs 会继续与联合国儿童基金会（UNicef）和世界野生动物基金会（World Wildlife Fund）发展合作伙伴关系，并在发展中国家和新兴市场中发展超过35个优质的区块链项目；对女性领导的区块链初创公司进行投资，继续与其他公链和社区合作。Terry Culver表示：我们长期深度致力于挖掘真正的公共区块链的潜力， ETC除了上涨外别无选择。（碳链价值）[2020/8/11]
DeFi贷款协议bZx曾先后两次因闪电贷攻击被套利超百万美金，知名DeFi平台Balancer流动性池也曾遭黑客闪电贷攻击，损失50万美金。
王纯：比特币减半除了挖矿收益，也需要关注网络安全性:在今日金色财经联合鱼池举行主题为《算力变动下如何寻找更多收益》的线上直播中，F2Pool联合创始人、stakefish创始人兼CEO王纯指出，5月份的减半将让存量比特币进一步减少，目前挖出的币超过87%，随着此后更次的区块奖励减半，矿工币本位收益继续减小，更担心这对比特币网络安全方面的影响。比如在挖矿收益今后进一步减小。应对大额手续费区块，网络是否会存在反复打包区块的情况。减半的同时，比特币网络安全性也值得我们关注。[2020/4/15]
而就在三天前的10月26日，黑客又一次使用闪电贷套利成功从DeFi协议Harvest.Finance盗走2400万美金。
闪电贷和治理攻击
闪电贷攻击的存在引人不安，尤其是在处于混沌状态的加密早期阶段，DeFi协议可组合性的加持，DeFi中的用户犹如在危机四伏的黑暗森林中探险，如履薄冰，在高回报和高收益的表象下，闪电贷攻击隐藏着杀机四伏的安全风险。
然而，这还不是全部。最近，闪电贷又被发现有了新的「用武之地」，即可被用来操作选票进行去中心化社区治理攻击。
本周早些时候MakerDAO通过的一起治理投票，事后被发现该治理流程中有利用闪电贷操纵进行投票。虽然事后调查显示，此次事件并非出于恶意，但这起事故让MakerDAO社区意识到，闪电贷在治理结构中存在着隐形操作风险，且具有可操作性。
具体来说，10月26日，Maker基金会智能合约开发团队检测到一起发生在MakerDAO治理提案中的投票违规行为，该提案由DeFi流动性协议BProtocol开发团队发起，主要目标是提议将BProtocol列入到MakerDAO预言机的白名单中，以获得访问MakerDAO价格预言机的权限，此次检测发现该提案使用了闪电贷功能操纵投票以通过提案。
事后监测发现，此次提案投票过程中，有多个步骤的操纵被创建和执行，具体来说，首先从dYdX通过闪电贷借出WETH，接着将其用作抵押资产从借贷平台AAVE中借出价值700万美元的MKR代币，之后借出的大约1.3万MKR代币被用于进行该提案投票，投票完毕后将其返还。
此次投票操纵的具体流程
该帖子指出，投票违规行为被确认后，Maker基金会与BProtocol团队取得联系，BProtocol团队也一直就此事和Maker基金会保持良好透明的沟通，并愿意为这起闪电贷负责。
诚然，此次治理操纵事件的发生并未带来巨大损失，但是这起治理事故仍然意义重大，它提醒我们，闪电贷不仅可以产生直接的经济损失，还可通过治理操纵导致间接的经济损失，且具有可操作的空间，而后者显然更加隐秘。
这意味着，DeFi用户尤其是社区治理者必须意识到闪电贷的潜在风险，即它可能对治理系统产生影响，最终可能引发经济损失，而对于Maker社区而言则更加迫在眉睫地急需对MKR市场的流动性进行积极地监控。
Maker社区论坛上，已针对未来如何防范闪电贷治理攻击进行一系列讨论，比如将GSM暂停延迟增加至72小时，让MKR持有者有更长的时间对治理攻击做出反应，禁用治理参与者的某些功能。
随着DeFi逐渐变得成熟，可组合性会使整个系统风险呈指数级增长，在各个协议通过组合带来机会的同时，也面临兼容性风险。处于蛮荒早期的DeFi生态安全问题仍然任重而道远。
来源链接：forum.makerdao.com
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。