為什么DeFi總是被黑客攻擊?你可能忽略了這些危險信號!
2024年DeFi領(lǐng)域損失高達(dá)10.29億美元，2025年損失6.49億美元，而僅在2026年第一季度就有1.37億美元被盜。注：2026年4月份以來DeFi損失就超過6億美金。
為什么黑客攻擊事件屢屢發(fā)生？為什么我們總是忽略相同的危險信號？當(dāng)剝離這些漏洞的表象后，您會發(fā)現(xiàn)它們絕非隨機(jī)發(fā)生，而是有跡可循的。
本文梳理了重大DeFi安全事件背后的底層規(guī)律與極易被忽視的早期預(yù)警信號?；趯τ獍倨鸸舭咐纳疃葟?fù)盤，文章在文末給出了核心的防范建議。
漏洞頻發(fā)的真相與分類
在開始之前，有必要澄清為什么我們要將這些漏洞劃分為不同的類別。
從根本上說，DeFi的失敗往往發(fā)生在系統(tǒng)的特定層面上，而每一層的崩潰方式都有著本質(zhì)的區(qū)別：
- 代碼層面：當(dāng)假設(shè)沒有被強(qiáng)制執(zhí)行時就會失敗。邏輯上并沒有明顯的錯誤，但是邊緣情況、約束條件或不變量從未被完全檢查過。
- 基礎(chǔ)設(shè)施：當(dāng)信任被置于可能受損的系統(tǒng)時就會失敗。
- 業(yè)務(wù)邏輯：當(dāng)“按規(guī)則游戲”本身成為一種攻擊手段時就會失敗。
以下是各類漏洞典型案例的結(jié)構(gòu)化總結(jié)：
基礎(chǔ)設(shè)施：控制權(quán)正確，但語境錯誤
當(dāng)權(quán)力被使用但缺乏全面認(rèn)知時（而不是當(dāng)密鑰被盜時），基礎(chǔ)設(shè)施就會失敗。在各個安全事件中，我們總能看到一致的模式：正確的人簽署了交易，使用了正確的權(quán)限，系統(tǒng)也完全按照設(shè)計運(yùn)行。
然而，資金還是丟失了。因為系統(tǒng)驗證的是真實性，而不是意圖。一個有效的簽名只能證明是誰簽署的，但不能證明他們真正理解了自己簽署的內(nèi)容。驗證與理解之間的這種差距，正是基礎(chǔ)設(shè)施崩潰的溫床。
@DriftProtocol：他們過早地進(jìn)行了簽名
交易是有效的，簽名也是真實的。他們只是沒想到它會在之后被使用。
它是在一次例行檢查中被批準(zhǔn)的，當(dāng)時并沒有發(fā)生任何事情。然后有一天它被執(zhí)行了。沒有任何東西被偽造或更改。
問題很簡單：他們簽署了某項內(nèi)容，但沒有控制它何時被使用。
@Bybit_Official：他們簽錯了東西
系統(tǒng)正常工作，簽名也是有效的。人們只是簽署了與他們想象中不同的東西。
他們看到的是一次正常的轉(zhuǎn)賬，然后他們批準(zhǔn)了。但在底層，它正在改變錢包的控制權(quán)。在通常意義上，沒有任何東西被黑客攻擊，一切都遵循了規(guī)則。
問題很簡單：他們看到的……并不是他們所簽署的。
@UXLINKofficial：他們有權(quán)這么做
系統(tǒng)允許這樣做，權(quán)限也是有效的。沒有密鑰被盜，也沒有繞過任何檢查。
管理員角色被更改，所有權(quán)被重新分配。所有這些都是通過合法的調(diào)用完成的，一切都按設(shè)計運(yùn)行。
問題很簡單：系統(tǒng)賦予了足夠的權(quán)力，并相信它不會被濫用。
代碼：假設(shè)未被強(qiáng)制執(zhí)行的地方
代碼漏洞并非來自明顯的Bug。它們往往來自那些按預(yù)期工作，只是并非在所有條件下都能正常工作的系統(tǒng)。
- 規(guī)則雖然存在，但并未在所有地方被強(qiáng)制執(zhí)行；
- 邊緣情況被忽略，直到它們被惡意觸發(fā)；
- 數(shù)學(xué)公式在理論上行得通，但在代碼實現(xiàn)時卻崩潰了；
- 安全檢查覆蓋了預(yù)期路徑，但沒有覆蓋實際的攻擊路徑。
簡而言之，代碼在它的假設(shè)不再成立的地方失敗了。
Bunni：數(shù)學(xué)原理沒問題，直到它出錯了
系統(tǒng)經(jīng)過了審計，他們確認(rèn)代碼是正確的。模型在紙面上非常有意義：流動性、定價，一切都核對無誤。
但在實踐中，出現(xiàn)了微小的舍入誤差。而且它們沒有抵消，而是不斷累積了起來。攻擊者并沒有破壞系統(tǒng)，只是重復(fù)了它：一遍又一遍。問題很簡單：數(shù)學(xué)理論是正確的，但代碼實現(xiàn)并不精確。
@Balancer：小錯誤，反復(fù)出現(xiàn)
系統(tǒng)正常工作，數(shù)學(xué)計算也是正確的。每筆交易都有極小的舍入損失，幾乎可以忽略不計。
但它沒有重置，而是累積了起來。攻擊者并沒有只利用一次，他們在一個流程中多次利用了它。
問題很簡單：如果能重復(fù)足夠多次，一個小錯誤就會滾雪球變成一個大錯誤。
Venus：規(guī)則存在，只是并非無處不在
系統(tǒng)有一個限制，檢查機(jī)制也被實現(xiàn)了。但僅僅是在一個地方。
通過另一條路徑，同樣的規(guī)則并不適用。攻擊者并沒有繞過系統(tǒng)，他們只是繞開了那個檢查點(diǎn)。問題很簡單：一個沒有在所有地方被強(qiáng)制執(zhí)行的規(guī)則，就等同于沒有規(guī)則。
業(yè)務(wù)邏輯：當(dāng)系統(tǒng)信任了錯誤的東西
系統(tǒng)遵循著自己的規(guī)則，它信任價格。如果價格上漲，你就可以借入更多資金。
因此，攻擊者購買自己的資產(chǎn)，人為推高價格?，F(xiàn)在系統(tǒng)認(rèn)為他們很富有，并允許他們借入真正的價值資產(chǎn)。然后他們套現(xiàn)離場。沒有任何東西被破壞，系統(tǒng)只是信任了一些極易被 操縱的東西。
Mango：他讓自己看起來很富有
系統(tǒng)信任價格：更高的價格 → 更多的抵押品 → 更多的借款。
攻擊者購買了大量低流動性代幣，價格隨之上漲。然后他們利用這個虛高的價格從協(xié)議中借入真實的資產(chǎn)。之后，他們停止支撐價格，價格隨之崩潰。抵押品不再充足，但借出的資金已經(jīng)消失了。沒有任何東西被黑客入侵，系統(tǒng)只是相信了一個可以被 操縱的價格。
Impermax：價格太容易被撼動了
系統(tǒng)信任價格，但市場太薄弱了。
攻擊者借入代幣，然后針對一個低流動性池進(jìn)行交易。價格劇烈波動，超出了應(yīng)有的幅度。現(xiàn)在系統(tǒng)認(rèn)為該頭寸不安全，并強(qiáng)制清算。攻擊者為此做好了布局，并拿走了利潤。沒有任何東西被破壞，價格只是太容易被撼動了。
最終教訓(xùn)：如何生存與發(fā)展？
在所有這些漏洞中，有一件事是明確的：你不需要犯錯才會賠錢，你只需要在系統(tǒng)崩潰時暴露在風(fēng)險中。
問題不在于協(xié)議被破壞了，而在于它們依賴于可能出錯的事物：假設(shè)、語境或價格。因此，我們的目標(biāo)不是去尋找完美的系統(tǒng)，而是控制你對它們的信任程度。
在實踐中，這意味著：
- 不要輕信你在界面上看到的東西。
- 不要假設(shè)規(guī)則總是會保護(hù)你。
- 不要把價格或收益率當(dāng)作絕對的真理。
- 避免將所有資產(chǎn)暴露在一個地方，因為當(dāng)失敗發(fā)生時，它們往往發(fā)生得非常迅速且毫無征兆。
生存歸結(jié)于限制損害：使用能夠強(qiáng)制執(zhí)行約束的系統(tǒng)，避免容易被 操縱的設(shè)置，并始終保留退出的能力。
在DeFi中，你不能靠信任系統(tǒng)來獲勝；你只能靠控制它能傷害你多少來生存。
到此這篇關(guān)于為什么DeFi總是被黑客攻擊?你可能忽略了這些危險信號!的文章就介紹到這了,更多相關(guān)重大DeFi安全事件背后原因分析內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持腳本之家！
你可能感興趣的文章
-
Kelp DAO被盜之后,AAVE的情況比你想的更糟
AAVE 協(xié)議因 rsETH 漏洞產(chǎn)生巨額壞賬，引發(fā)大規(guī)模流動性擠兌，導(dǎo)致其核心市場（如 USDT、USDC、ETH）利用率達(dá)100%，用戶資金被鎖，協(xié)議面臨系統(tǒng)性風(fēng)險與信任危機(jī)…
2026-04-20 -
Kelp DAO被盜2.92億美元，Aave承接巨額壞賬
第二大流動性質(zhì)押協(xié)議Kelp DAO遭遇重大安全漏洞，其基于LayerZero的rsETH橋接合約被攻擊，損失價值約2.92億美元的資產(chǎn)，事件根源在于源鏈私鑰被攻破，并可能對Aave等借貸協(xié)…
2026-04-19 -
2026 年最佳 DeFi 交易所：頂級去中心化交易所、實際對比解析
本文將深入探討 2026 年真正重要的去中心化交易所，分析它們的底層機(jī)制有何不同，實際費(fèi)用和風(fēng)險如何，去中心化交易所的運(yùn)作方式（以及這種模式為何重要）以及根據(jù)你的具體…
2026-04-16 -
什么是DeFi質(zhì)押?2026年DeFi質(zhì)押策略的9步入門指南
DeFi 質(zhì)押涉及將加密貨幣資產(chǎn)鎖定在智能合約中，以支持區(qū)塊鏈網(wǎng)路的營運(yùn)，特別是那些采用權(quán)益證明（PoS）共識機(jī)制的網(wǎng)路,構(gòu)建安全的 DeFi 質(zhì)押策略要求投資者清楚地了解如…
2026-04-15 -
什么是去中心化金融（DeFi）合成杠桿？運(yùn)作方式、優(yōu)勢及風(fēng)險解析
合成杠桿正逐漸成為去中心化金融的重要工具，它能幫助投資者更有效地獲取更多投資機(jī)會、進(jìn)行風(fēng)險管理并實現(xiàn)多元化投資，本文就來介紹一下什么是去中心化金融（DeFi）合成杠…
2026-04-15 -
什么是DeFi？了解去中心化金融的工作原理與優(yōu)勢
去中心化金融 (DeFi) 由區(qū)塊鏈和智能合約驅(qū)動，它正在重新定義金融服務(wù)，消除對銀行、政府或其他傳統(tǒng)中介機(jī)構(gòu)的需求，顯著縮短結(jié)算時間和降低運(yùn)營成本,指南將概述決策者最…
2026-04-10 -
2.8億美元的教訓(xùn)!一文分享2026年DeFi的常見風(fēng)險路徑與安全避坑指南
隨著 DeFi 的快速發(fā)展，去中心化金融已經(jīng)從小眾極客的玩具，變成了普通人追逐高收益的熱土,為幫助大家規(guī)避風(fēng)險，本文總結(jié)出參與 DeFi 前必須完成的 5 個關(guān)鍵安全檢查，幫助…
2026-04-09 -
一文解析DeFi發(fā)展的最大卡點(diǎn)
文章詳細(xì)介紹了Drift借貸協(xié)議遭受黑客攻擊的事件,黑客通過長達(dá)六月的社會工程攻擊,利用了開發(fā)者日常操作中的漏洞,最終盜取了約2.85億美元的用戶資產(chǎn),黑客團(tuán)隊還可能已滲透…
2026-04-09 -
索拉納幣（SOL）基金會多舉措強(qiáng)化 DeFi 安全，積極應(yīng)對持續(xù)攻擊挑戰(zhàn)
Solana 基金會正強(qiáng)化 DeFi 安全性，以應(yīng)對如 2026 年 Drift Protocol 遭 2.85 億美元攻擊等事件,通過推動多簽治理優(yōu)化、引入時間鎖與緊急暫停機(jī)制、加強(qiáng)鏈上監(jiān)控與安全審計…
2026-04-07 -
什么是DeFi質(zhì)押？加密貨幣可持續(xù)被動收入入門指南2026最新
文章介紹了2026年DeFi質(zhì)押作為加密貨幣投資者產(chǎn)生被動收入流的解決方案,它詳細(xì)解釋了質(zhì)押的工作原理、優(yōu)勢、不同類型）,并提供了初學(xué)者指南,需要的朋友可以參考下…
2026-04-07
