DeFi 連續被駭 — Uniswap 與 Lendf.Me 的骨牌效應

#264

嗨，早！

上週我用樂高積木說明以區塊鏈打造的金融系統（統稱 DeFi），讓工程師可以發揮創意，拿舊的積木重新組合出全新應用。同時，還有許多人在研發新積木，專攻不同應用場景。只要積木的規格彼此互通，DeFi 的生態系就會越來越豐富。

但話才剛說完，災難就來了。

DeFi 應用接連被駭

上週末兩項 DeFi 圈內小有名氣的應用 —— Uniswap 去中心化交易所 和 Lendf.Me 借貸平台 —— 接連遭到駭客入侵，分別被盜走價值約 660 萬及 7.5 億台幣的多種加密貨幣。兩個應用的運作細節我會另闢文章說明，本篇討論的被駭事件，知道兩者的基礎功能就已經足夠。

Uniswap 是兌幣的應用，讓人們在加密貨幣錢包裡就能直接以 ETH 換 DAI，不用另外到交易所註冊帳號。Lendf.Me 功能則像是 Compound 借貸平台，讓人們可以存幣生息，但 Lendf.Me 還額外加上一些創新。當我看到 Uniswap 和 Lendf.Me 雙雙被駭，第一反應是：跑。

雖然我沒有使用這兩款應用，但 DeFi 應用被駭就像是地震一樣。當你看到隔壁的大樓（Uniswap 和 Lendf.Me）被震倒了，難保自己待的大樓（Compound）不會受損。所以我馬上把存放在 Compound 賺利息的錢全部領出來，靜觀其變。直到專業資安團隊查明原因並確定 Compound 不受影響，我才又把錢存回去賺利息。

這種危機時刻，Compound 的放貸利率會特別高。放貸的人都怕本金有去無回，一有狀況就會馬上把銀根抽走。相較之下，從 Compound 借錢的人比較不怕。他們雖然有抵押物放在 Compound 裡，但手上也有從 Compound 借出來的幣。即便 Compound 倒了，也不至於血本無歸。借貸市場供需失衡 —— 放貸的人（供給方）大幅減少，借錢的人（需求方）大致不變 —— 資金供不應求，推升了 Compound 的放貸利率。

利率高也代表風險高，得有一點心理準備才行。但事後大家都在問，Uniswap 和 Lendf.Me 為什麼會接連被駭？

相容的積木，不相容

事後多家資安專業機構主動加入調查，一致認定兩起被駭事件都與 ERC-777 這種積木（代幣）規格有關，這是一種非常小眾的新款積木。

目前金融樂高（DeFi）世界裡，幾乎所有人都是採用 ERC-20 這種積木規格，並據此開發新應用。但在 20…