為什么DeFi總是被黑客攻擊?你可能忽略了這些危險(xiǎn)信號(hào)!
2024年DeFi領(lǐng)域損失高達(dá)10.29億美元，2025年損失6.49億美元，而僅在2026年第一季度就有1.37億美元被盜。注：2026年4月份以來(lái)DeFi損失就超過(guò)6億美金。
為什么黑客攻擊事件屢屢發(fā)生？為什么我們總是忽略相同的危險(xiǎn)信號(hào)？當(dāng)剝離這些漏洞的表象后，您會(huì)發(fā)現(xiàn)它們絕非隨機(jī)發(fā)生，而是有跡可循的。
本文梳理了重大DeFi安全事件背后的底層規(guī)律與極易被忽視的早期預(yù)警信號(hào)?；趯?duì)逾百起攻擊案例的深度復(fù)盤(pán)，文章在文末給出了核心的防范建議。
漏洞頻發(fā)的真相與分類
在開(kāi)始之前，有必要澄清為什么我們要將這些漏洞劃分為不同的類別。
從根本上說(shuō)，DeFi的失敗往往發(fā)生在系統(tǒng)的特定層面上，而每一層的崩潰方式都有著本質(zhì)的區(qū)別：
- 代碼層面：當(dāng)假設(shè)沒(méi)有被強(qiáng)制執(zhí)行時(shí)就會(huì)失敗。邏輯上并沒(méi)有明顯的錯(cuò)誤，但是邊緣情況、約束條件或不變量從未被完全檢查過(guò)。
- 基礎(chǔ)設(shè)施：當(dāng)信任被置于可能受損的系統(tǒng)時(shí)就會(huì)失敗。
- 業(yè)務(wù)邏輯：當(dāng)“按規(guī)則游戲”本身成為一種攻擊手段時(shí)就會(huì)失敗。
以下是各類漏洞典型案例的結(jié)構(gòu)化總結(jié)：
基礎(chǔ)設(shè)施：控制權(quán)正確，但語(yǔ)境錯(cuò)誤
當(dāng)權(quán)力被使用但缺乏全面認(rèn)知時(shí)（而不是當(dāng)密鑰被盜時(shí)），基礎(chǔ)設(shè)施就會(huì)失敗。在各個(gè)安全事件中，我們總能看到一致的模式：正確的人簽署了交易，使用了正確的權(quán)限，系統(tǒng)也完全按照設(shè)計(jì)運(yùn)行。
然而，資金還是丟失了。因?yàn)橄到y(tǒng)驗(yàn)證的是真實(shí)性，而不是意圖。一個(gè)有效的簽名只能證明是誰(shuí)簽署的，但不能證明他們真正理解了自己簽署的內(nèi)容。驗(yàn)證與理解之間的這種差距，正是基礎(chǔ)設(shè)施崩潰的溫床。
@DriftProtocol：他們過(guò)早地進(jìn)行了簽名
交易是有效的，簽名也是真實(shí)的。他們只是沒(méi)想到它會(huì)在之后被使用。
它是在一次例行檢查中被批準(zhǔn)的，當(dāng)時(shí)并沒(méi)有發(fā)生任何事情。然后有一天它被執(zhí)行了。沒(méi)有任何東西被偽造或更改。
問(wèn)題很簡(jiǎn)單：他們簽署了某項(xiàng)內(nèi)容，但沒(méi)有控制它何時(shí)被使用。
@Bybit_Official：他們簽錯(cuò)了東西
系統(tǒng)正常工作，簽名也是有效的。人們只是簽署了與他們想象中不同的東西。
他們看到的是一次正常的轉(zhuǎn)賬，然后他們批準(zhǔn)了。但在底層，它正在改變錢(qián)包的控制權(quán)。在通常意義上，沒(méi)有任何東西被黑客攻擊，一切都遵循了規(guī)則。
問(wèn)題很簡(jiǎn)單：他們看到的……并不是他們所簽署的。
@UXLINKofficial：他們有權(quán)這么做
系統(tǒng)允許這樣做，權(quán)限也是有效的。沒(méi)有密鑰被盜，也沒(méi)有繞過(guò)任何檢查。
管理員角色被更改，所有權(quán)被重新分配。所有這些都是通過(guò)合法的調(diào)用完成的，一切都按設(shè)計(jì)運(yùn)行。
問(wèn)題很簡(jiǎn)單：系統(tǒng)賦予了足夠的權(quán)力，并相信它不會(huì)被濫用。
代碼：假設(shè)未被強(qiáng)制執(zhí)行的地方
代碼漏洞并非來(lái)自明顯的Bug。它們往往來(lái)自那些按預(yù)期工作，只是并非在所有條件下都能正常工作的系統(tǒng)。
- 規(guī)則雖然存在，但并未在所有地方被強(qiáng)制執(zhí)行；
- 邊緣情況被忽略，直到它們被惡意觸發(fā)；
- 數(shù)學(xué)公式在理論上行得通，但在代碼實(shí)現(xiàn)時(shí)卻崩潰了；
- 安全檢查覆蓋了預(yù)期路徑，但沒(méi)有覆蓋實(shí)際的攻擊路徑。
簡(jiǎn)而言之，代碼在它的假設(shè)不再成立的地方失敗了。
Bunni：數(shù)學(xué)原理沒(méi)問(wèn)題，直到它出錯(cuò)了
系統(tǒng)經(jīng)過(guò)了審計(jì)，他們確認(rèn)代碼是正確的。模型在紙面上非常有意義：流動(dòng)性、定價(jià)，一切都核對(duì)無(wú)誤。
但在實(shí)踐中，出現(xiàn)了微小的舍入誤差。而且它們沒(méi)有抵消，而是不斷累積了起來(lái)。攻擊者并沒(méi)有破壞系統(tǒng)，只是重復(fù)了它：一遍又一遍。問(wèn)題很簡(jiǎn)單：數(shù)學(xué)理論是正確的，但代碼實(shí)現(xiàn)并不精確。
@Balancer：小錯(cuò)誤，反復(fù)出現(xiàn)
系統(tǒng)正常工作，數(shù)學(xué)計(jì)算也是正確的。每筆交易都有極小的舍入損失，幾乎可以忽略不計(jì)。
但它沒(méi)有重置，而是累積了起來(lái)。攻擊者并沒(méi)有只利用一次，他們?cè)谝粋€(gè)流程中多次利用了它。
問(wèn)題很簡(jiǎn)單：如果能重復(fù)足夠多次，一個(gè)小錯(cuò)誤就會(huì)滾雪球變成一個(gè)大錯(cuò)誤。
Venus：規(guī)則存在，只是并非無(wú)處不在
系統(tǒng)有一個(gè)限制，檢查機(jī)制也被實(shí)現(xiàn)了。但僅僅是在一個(gè)地方。
通過(guò)另一條路徑，同樣的規(guī)則并不適用。攻擊者并沒(méi)有繞過(guò)系統(tǒng)，他們只是繞開(kāi)了那個(gè)檢查點(diǎn)。問(wèn)題很簡(jiǎn)單：一個(gè)沒(méi)有在所有地方被強(qiáng)制執(zhí)行的規(guī)則，就等同于沒(méi)有規(guī)則。
業(yè)務(wù)邏輯：當(dāng)系統(tǒng)信任了錯(cuò)誤的東西
系統(tǒng)遵循著自己的規(guī)則，它信任價(jià)格。如果價(jià)格上漲，你就可以借入更多資金。
因此，攻擊者購(gòu)買(mǎi)自己的資產(chǎn)，人為推高價(jià)格。現(xiàn)在系統(tǒng)認(rèn)為他們很富有，并允許他們借入真正的價(jià)值資產(chǎn)。然后他們套現(xiàn)離場(chǎng)。沒(méi)有任何東西被破壞，系統(tǒng)只是信任了一些極易被 操縱的東西。
Mango：他讓自己看起來(lái)很富有
系統(tǒng)信任價(jià)格：更高的價(jià)格 → 更多的抵押品 → 更多的借款。
攻擊者購(gòu)買(mǎi)了大量低流動(dòng)性代幣，價(jià)格隨之上漲。然后他們利用這個(gè)虛高的價(jià)格從協(xié)議中借入真實(shí)的資產(chǎn)。之后，他們停止支撐價(jià)格，價(jià)格隨之崩潰。抵押品不再充足，但借出的資金已經(jīng)消失了。沒(méi)有任何東西被黑客入侵，系統(tǒng)只是相信了一個(gè)可以被 操縱的價(jià)格。
Impermax：價(jià)格太容易被撼動(dòng)了
系統(tǒng)信任價(jià)格，但市場(chǎng)太薄弱了。
攻擊者借入代幣，然后針對(duì)一個(gè)低流動(dòng)性池進(jìn)行交易。價(jià)格劇烈波動(dòng)，超出了應(yīng)有的幅度?，F(xiàn)在系統(tǒng)認(rèn)為該頭寸不安全，并強(qiáng)制清算。攻擊者為此做好了布局，并拿走了利潤(rùn)。沒(méi)有任何東西被破壞，價(jià)格只是太容易被撼動(dòng)了。
最終教訓(xùn)：如何生存與發(fā)展？
在所有這些漏洞中，有一件事是明確的：你不需要犯錯(cuò)才會(huì)賠錢(qián)，你只需要在系統(tǒng)崩潰時(shí)暴露在風(fēng)險(xiǎn)中。
問(wèn)題不在于協(xié)議被破壞了，而在于它們依賴于可能出錯(cuò)的事物：假設(shè)、語(yǔ)境或價(jià)格。因此，我們的目標(biāo)不是去尋找完美的系統(tǒng)，而是控制你對(duì)它們的信任程度。
在實(shí)踐中，這意味著：
- 不要輕信你在界面上看到的東西。
- 不要假設(shè)規(guī)則總是會(huì)保護(hù)你。
- 不要把價(jià)格或收益率當(dāng)作絕對(duì)的真理。
- 避免將所有資產(chǎn)暴露在一個(gè)地方，因?yàn)楫?dāng)失敗發(fā)生時(shí)，它們往往發(fā)生得非常迅速且毫無(wú)征兆。
生存歸結(jié)于限制損害：使用能夠強(qiáng)制執(zhí)行約束的系統(tǒng)，避免容易被 操縱的設(shè)置，并始終保留退出的能力。
在DeFi中，你不能靠信任系統(tǒng)來(lái)獲勝；你只能靠控制它能傷害你多少來(lái)生存。
到此這篇關(guān)于為什么DeFi總是被黑客攻擊?你可能忽略了這些危險(xiǎn)信號(hào)!的文章就介紹到這了,更多相關(guān)重大DeFi安全事件背后原因分析內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持腳本之家！
你可能感興趣的文章
-
Kelp DAO被盜之后,AAVE的情況比你想的更糟
AAVE 協(xié)議因 rsETH 漏洞產(chǎn)生巨額壞賬，引發(fā)大規(guī)模流動(dòng)性擠兌，導(dǎo)致其核心市場(chǎng)（如 USDT、USDC、ETH）利用率達(dá)100%，用戶資金被鎖，協(xié)議面臨系統(tǒng)性風(fēng)險(xiǎn)與信任危機(jī)…
2026-04-20 -
Kelp DAO被盜2.92億美元，Aave承接巨額壞賬
第二大流動(dòng)性質(zhì)押協(xié)議Kelp DAO遭遇重大安全漏洞，其基于LayerZero的rsETH橋接合約被攻擊，損失價(jià)值約2.92億美元的資產(chǎn)，事件根源在于源鏈私鑰被攻破，并可能對(duì)Aave等借貸協(xié)…
2026-04-19 -
2026 年最佳 DeFi 交易所：頂級(jí)去中心化交易所、實(shí)際對(duì)比解析
本文將深入探討 2026 年真正重要的去中心化交易所，分析它們的底層機(jī)制有何不同，實(shí)際費(fèi)用和風(fēng)險(xiǎn)如何，去中心化交易所的運(yùn)作方式（以及這種模式為何重要）以及根據(jù)你的具體…
2026-04-16 -
什么是DeFi質(zhì)押?2026年DeFi質(zhì)押策略的9步入門(mén)指南
DeFi 質(zhì)押涉及將加密貨幣資產(chǎn)鎖定在智能合約中，以支持區(qū)塊鏈網(wǎng)路的營(yíng)運(yùn)，特別是那些采用權(quán)益證明（PoS）共識(shí)機(jī)制的網(wǎng)路,構(gòu)建安全的 DeFi 質(zhì)押策略要求投資者清楚地了解如…
2026-04-15 -
什么是去中心化金融（DeFi）合成杠桿？運(yùn)作方式、優(yōu)勢(shì)及風(fēng)險(xiǎn)解析
合成杠桿正逐漸成為去中心化金融的重要工具，它能幫助投資者更有效地獲取更多投資機(jī)會(huì)、進(jìn)行風(fēng)險(xiǎn)管理并實(shí)現(xiàn)多元化投資，本文就來(lái)介紹一下什么是去中心化金融（DeFi）合成杠…
2026-04-15 -
什么是DeFi？了解去中心化金融的工作原理與優(yōu)勢(shì)
去中心化金融 (DeFi) 由區(qū)塊鏈和智能合約驅(qū)動(dòng)，它正在重新定義金融服務(wù)，消除對(duì)銀行、政府或其他傳統(tǒng)中介機(jī)構(gòu)的需求，顯著縮短結(jié)算時(shí)間和降低運(yùn)營(yíng)成本,指南將概述決策者最…
2026-04-10 -
2.8億美元的教訓(xùn)!一文分享2026年DeFi的常見(jiàn)風(fēng)險(xiǎn)路徑與安全避坑指南
隨著 DeFi 的快速發(fā)展，去中心化金融已經(jīng)從小眾極客的玩具，變成了普通人追逐高收益的熱土,為幫助大家規(guī)避風(fēng)險(xiǎn)，本文總結(jié)出參與 DeFi 前必須完成的 5 個(gè)關(guān)鍵安全檢查，幫助…
2026-04-09 -
一文解析DeFi發(fā)展的最大卡點(diǎn)
文章詳細(xì)介紹了Drift借貸協(xié)議遭受黑客攻擊的事件,黑客通過(guò)長(zhǎng)達(dá)六月的社會(huì)工程攻擊,利用了開(kāi)發(fā)者日常操作中的漏洞,最終盜取了約2.85億美元的用戶資產(chǎn),黑客團(tuán)隊(duì)還可能已滲透…
2026-04-09 -
索拉納幣（SOL）基金會(huì)多舉措強(qiáng)化 DeFi 安全，積極應(yīng)對(duì)持續(xù)攻擊挑戰(zhàn)
Solana 基金會(huì)正強(qiáng)化 DeFi 安全性，以應(yīng)對(duì)如 2026 年 Drift Protocol 遭 2.85 億美元攻擊等事件,通過(guò)推動(dòng)多簽治理優(yōu)化、引入時(shí)間鎖與緊急暫停機(jī)制、加強(qiáng)鏈上監(jiān)控與安全審計(jì)…
2026-04-07 -
什么是DeFi質(zhì)押？加密貨幣可持續(xù)被動(dòng)收入入門(mén)指南2026最新
文章介紹了2026年DeFi質(zhì)押作為加密貨幣投資者產(chǎn)生被動(dòng)收入流的解決方案,它詳細(xì)解釋了質(zhì)押的工作原理、優(yōu)勢(shì)、不同類型）,并提供了初學(xué)者指南,需要的朋友可以參考下…
2026-04-07
