8月10日晚间，跨链DeFi平台PolyNetwork遭到黑客攻击，黑客窃取了大约6.1亿美元的加密货币。

PolyNetwork是一个中国的跨链互操作协议，目前已集成三个主流生态——币安智能链、以太坊和Polygon。黑客依次攻击了三条链上的协议，分别盗走了2.7亿、2.5亿、8500万美元，被盗资产分别被转移到3个钱包地址。

根据PolyNetwork官方发布的攻击消息，三个钱包地址总共持有超过6亿美元的加密货币，包括USDC,WBTC,WETH,SHIB。Poly团队随后呼吁相关矿工和加密货币交易所将这三个钱包地址加入黑名单。

多个项目方已经出面回应，Tether的CTO Paolo Ardoino在推特上表示，Tether已经冻结了与这次黑客攻击有关的大约3,300万美元资产。币安、OKEx、Huobi三大所的CEO也先后表示，将尽力帮助将损失减少到最轻。

6亿美元将使PolyNetwork黑客事件成为加密历史上被盗金额最大的黑客事件。

事件发生后，黑客已经将超过1亿美元的资产从币安智能链钱包地址转移到EllipsisFinance协议流动池。期间，黑客还曾试图将盗窃资产转移到以太坊协议Curve.fi流动池，但该交易被拒绝了。

攻击手段分析：据区块链安全公司BlockSec的初步分析，此次黑客攻击可能是由于签署跨链信息的私钥泄露引发的，另一个可能的原因是Poly团队在签名过程中存在的错误导致签名被滥用。

以太坊开发者Mudit Gupta写道，PolyNetwork使用多签钱包进行交易，四个私钥保管人拥有签署交易的私钥，每次交易至少需要3个人签名。黑客掌握了至少3个私钥，然后把多签改成单签，将其他私钥所有者锁在了外面。

区块链安全公司慢雾认为，黑客利用智能合约漏洞改变了私钥管理人，将收款地址替换成自己的钱包，这起事件不是私钥泄漏造成的。

无论黑客是窃取到了私钥还是利用了智能合约的漏洞，达成这些目的最简便的途径就是身处团队内部。因此，是否是内部人员作恶尚不确定。区块链分析公司CipherTrace质疑这是否是退出骗局，这是去年加密世界中最流行的诈骗形式。

现在下结论还为时过早，慢雾表示，他们已经通过链上和链下追踪掌握了攻击者的邮箱、IP地址和设备指纹，并正在进一步追踪可能的身份线索。

跨链协议的脆弱性：根据慢雾的说法，攻击者首先用门罗币兑换成BNB、ETH、MATIC，随后发起了对以太坊、BSC和Polygon链的攻击。根据交易记录和资金流向，这很可能是一场有组织、准备充分的攻击。

针对此次攻击，币安智能链发言人表示，BSC上的协议和用户需要极其慎重地采取安全措施。

PolyNetwork团队给黑客写了一封公开信，向他施压，敦促其尽快归还盗窃资产。他们警告称，黑客将受到追捕，因为这次被盗金额是DeFi历史上最大的，任何国家的执法部门都会将其视为重大经济犯罪。

PolyNetwork事件再次表明新生的跨链协议很容易成为攻击的目标。7月，跨链流动性协议Thorchain在两周内遭到两次攻击。另一个跨链DeFi协议Rari Capital在5月份遭到攻击，损失了价值近1100万美元的ETH。跨链是一个相当复杂的领域，不同链的特性以及与其他链连接带来的复杂性，更放大了存在的挑战。

作者：Bradley Keoun翻译&校对：林芒果本文由矿视界（奇迹摩尔）翻译整理编辑，如需转载，请标明出处