事件概览 据报道，DegoFinance于2020年9月启动，旨在建立可持续和实用的NFT生态系统，并打造了NFT+DeFi平台。DEGO在DeFi世界中扮演了重要的角色，就像乐高一样。它将各个DeFi协议比作乐高积木，包括稳定币(DAI)、借贷(Aave,Compound)、去中心化交易所DEX(Uniswap和Balancer)、衍生品(Synthetix)和保险(NexusMutual)等。
然而，2月10日，DegoFinance官方推特发布公告称遭受黑客攻击，DeFi世界的乐高岌岌可危！
具体分析 本次攻击涉及多个账户地址私钥泄露，黑客利用私钥提取了多个链上的资产。我们以ETH链上的攻击为例，对Dego项目方其中一个地址的资金流向进行了详细分析。
首先，项目方私钥泄露的地址为0x20FE4B1eD95911487499e53355BB8f14a881D735，攻击者的地址为0x118203B0f2A3ef9e749D871C8fEF5e5e55ef5C91。
1. 攻击者使用私钥授权，在DEGO.Finance:Deployer账户和0x118账户铸造了592,582.35个DEGO代币。
2. 攻击者移除了ETH-DEGO交易池的流动性。
3. 攻击者通过DEGO.Finance:Deployer账户移除流动性，获取了269,502个DEGO代币和378个ETH。
4. 攻击者将DEGO.Finance:Deployer账户获取的378个ETH转给了0x118地址。
此外，黑客还将原本属于项目方地址的441个yvWETH转移到了0x118地址上。
截至目前，攻击者的0x118地址上有获利的750.37个ETH和其他转入的7.10个ETH，共757.4个ETH。
在Ethereum链上，攻击者在0x118地址将441个yvWETH兑换为445个ETH，并转移到Tornado.Cash:Proxy400ETH地址下的202个ETH和0x47a344588653efA88eB6D58433B6A2A5E202D65d地址下的202个ETH。
在Cronos链上，攻击者在0x118地址获取了196256.7个USDT和199401.9个USDCoin，尚未转出。
在BSC链上，攻击者获取了3736.17个BNB，并通过代币兑换获取了9188个BNB。将其中的12741个BNB转移到0x47a344588653efA88eB6D58433B6A2A5E202D65d地址。
攻击者在三条链上共计控制了约17,627,676美元。目前，DegoFinance官方正在调查原因并努力挽回损失。
随着DeFi的发展，项目的安全问题变得越来越紧迫。相比传统金融，DeFi底层依赖智能合约，这与传统金融有着根本的区别。尽管智能合约具有高效和便捷的特点，但也存在代码漏洞等传统金融中不需要考虑的问题。因此，成都链安建议大家对未公开智能合约和未审计报告的项目保持警惕，同时项目方也要避免私钥泄露，以免造成项目损失。
本文来源：成都链安
