DeFi平台bZx遭骇客盗走价值5,500万美元的加密货币资产

专门提供使用者借出、借入及推测加密货币价格的分散式金融平台bZx，在11月5日传出遭到骇客入侵，骇客利用网钓攻击取得该平台一名开发者个人钱包的私钥，进而针对该平台发动攻击，估计有价值5,500万美元的加密货币资产遭到移转。

根据bZx的说明，骇客传送了一个夹带恶意宏的Word文件予该平台的开发人员，以于开发人员的系统上植入恶意程式，并窃取了该名开发人员的钱包私钥，以及在bZx协定上所部署的BSC与Polygon私钥。

骇客不仅清空了该名开发人员的钱包，也清空了BSC及Polygon协定上的钱包，还升级了合约，以盗走那些允许无限批准合约的所有代币。

因此，除了该名开发人员的钱包被盗领一空之外，举凡是在BSC与Polygon协定存有资产的使用者，以及采用无限批准合约的使用者，也都受到波及，资产全被移转。

不过，有鉴于基于以太坊的bZx协定并未被开采，且它受到DAO（去中心化自治组织）的管理，因此在以太坊上的bZx的协定是安全的。

bZx并未公布开发者是何时受到感染，仅说在11月5日收到一名使用者的检举，他发现自己的余额是负的，而且利用率很高，bZx已追踪到骇客所使用的钱包，进而通知各大平台，共同冻结骇客钱包中的交易，以避免骇客脱产；另也关闭了BSC与Polygon的使用者界面，暂停用户交易。

bZx坦承，其BSC与Polygon部署的管理员私钥尚未转至DAO，才未受到DAO的保护，现在已重新启动基于DAO的BSC与Polygon。另也呼吁骇客主动联系bZx，以讨论归还所盗资产及可能获得的奖金事宜。

根据《The Record》的统计，这是今年来所发生的加密货币抢案中，被盗规模排名第五的，前四名依序是Poly Network的6.1亿美元，Cream Finance的1.3亿美元，Liquid的9,400万美元，以及EasyFi的8,100万美元。

在针对跨链协定PolyNetwork的攻击事件中，骇客利用的是PolyNetwork有关合约调用的安全漏洞，而让骇客得以一次盗走大量的加密资产，骇客最后在PolyNetwork与众人的劝说下将加密货币完璧归赵，当时PolyNetwork还承诺提供50万美元的抓漏奖金予骇客。