骗局早已被精心策划：Chibi Finance盗取100万美元随后跑路过程详解

图片：调用 addPool() | 来源：Arbiscan 

6 月 27 日，Chibi Finance 合约的部署者在多个 Chibi 合约上调用 setGov()，将由 EOA （0x80c1）创建的恶意合约分配给_gov 角色。这个角色在 Chibi Finance 合约中具有特权，允许攻击者调用 panic()函数，从合约中移走用户的资金。

图片：setGov()交易和示例交易 | 来源：Arbiscan

EOA 0 x 80 c 1 在恶意合约中调用 execute()，开始提取资金。该恶意合约遍历了每个在 6 月 23 日通过 addPool()交易添加的 Chibi Finance 合约，并调用了 panic()函数。该函数暂停合约并提取其中的资金。

被盗的资金随后转移到 EOA 0x80c1。 

图片：被盗的资金 | 来源：Arbiscan 

这些资金随后被兑换为 WETH，通过跨链桥转移到以太坊网络，并存入 Tornado Cash。

迄今为止，CertiK 在 2023 年在 Arbitrum 上记录了包括 ChibiFinance 退出骗局在内的 12 起事件，总计损失 1400 万美元。Chibi Finance 事件展示了 Web 3 领域中与中心化相关的风险。该项目的部署者滥用特权地位，窃取用户资金，然后删除了所有社交媒体账号，包括项目的网站。对于普通投资者来说，仅仅通过自己的研究来发现和理解类似 Chibi Finance 项目中的中心化风险是不现实的期望。这就是经验丰富的审计师价值所在。CertiK 可在审计过程中清楚阐明项目相关的中心化风险，以帮助投资者理解项目所带来的风险。