DeFi世界 如何保障你的资金安全? 金色财经

DeFi世界 如何保障你的资金安全? 金色财经
2021年06月10日 18:11 金色财经

"加密货币的牛市,也是黑客和犯罪者的天堂"

DeFi 作为此次行业爆发的引线,自从去年下半年崛起后,便彻底激活了整个行业,构建出了DEX、去中心化借贷、预言机、资产跨链桥等一整套DeFi生态,成功跑出了 Uniswap、Compound、AAVE 等一批优质项目,截止6月6日,仅以太坊上锁定的数字资产价值就高达 608.7 亿美元

在这些新项目、新生态崛起的同时,也诞生行业新的黑暗面,各种闪电贷攻击、新型DeFi骗局、科学家垄断等安全事件层出不穷。

据国家区块链漏洞库监测,2020 年 DeFi 安全事件共发生 103 起,都主要集中在了DeFi爆发后的这段时间,仅去年11月就有 25 件影响较大的DeFi安全事件。而如今,伴随着 DeFi 向着低成本的BSC、Heco、Solana、Fantom等公链上扩展,各种风险和安全问题也转移到了这些新的公链之上。

据PeckShield态势感知平台数据显示,仅今年5月,行业就发生了 46 起较为突出的安全事件,其中涉及 DeFi 占到了 25 起,损失金额高达 2.8 亿美元。

BSC则成为了安全事故频发的高发地。

5月20日,PancakeBunny被经济漏洞攻击,导致BUNNY价格暴跌,短时间从200美元闪跌至4美元,几近归0;5月28日,BSC链上DEX协议 JulSwap遭到闪电贷攻击,代币JULB短时跌幅超95%,同一天,BSC上的另一个DEX——BurgerSwap也遭遇闪电贷攻击,被盗超过432,874个 Burger,约330万美元;5月30日,AMM协议Belt finance同样遭遇闪电贷攻击,损失620万美元

对于本就处于信息劣势方的普通用户来说,这些潜在的安全风险,让生存环境更加雪上加霜,因为无法寄希望于权威的监管,所以也就只能依靠自救和安全的风险防范意识的养成。

那如何才能在DeFi的汪洋大海安全航行?又如何在黑客肆虐的角斗场中,保护好钱包的资产呢?有哪些准则和安全措施可以借鉴呢?

钱包还在,币没了」这是数字货币投资者最大的悲伤。

前不久,一款名叫LCS的钱包被曝出监守自盗,通过在后端恶意收集用户助记词,来盗取用户资产。

但当用户在导入助记词的过程中,会被其上传至该接口:portal-api-v3.lcs.world/user/importWallet,盗取用户的助记词,虽然宣称自己是一款去中心化的钱包,但实际是一款实打实的中心化钱包。

截止写稿时,从该钱包监守自盗的地址已经累计转出了近190个ETH(价值50万美元),而且还有其他用户所转入的小额资金。

这种风险其实很难防范,最好的方式就是,在不确定钱包安全与否的前提下,不要随意去使用新的钱包产品,也不要随意将有资产的账户导入不熟悉的钱包当中,尽量选择国际知名的主流钱包。

如果说这种风险难以识别,那在使用DeFi产品时,对于钱包的过度授权就是我们自己可以把控的。

众所周知,当我们在使用DeFi产品时会涉及数字资产的交互,第一步就是授权approve,一般来说,开发者为了避免用户反复授权,会默认设置授权最大数量的代币给智能合约,但也会出现过度授权的情况,也就是不限制最大数量,合约随意调用。

之前,一名叫Jhon的推特用户便遇到这种授权合约被钓鱼的情况,让它一夜之间被盗走价值 14 万美金的 UNI,其中很重要的一个原因就是他给予了合约无限使用代币的权利

作为DeFi的参与者,每天都会调用很多钱包,也会授权很多协议,那如何确定你过去是否有过这样过度授权的情况呢?这里有一个方法,大家可以参考。

首先,登陆以太坊浏览器 https://etherscan.io/,点击More,并进入到Token Approval界面。

然后,输入你需要查询的地址,查询结束后,你便可以清楚地查看你授权了哪些项目方和币种。

如果你要取消授权,你还需要连接钱包,点击左上角“Connect to web3”登陆钱包,然后通过后方Revoke一栏来进行取消,取消也是需要支付一定的GAS,所以,如果是授权的知名项目方,或者你常使用的产品和代币,我们可以不用取消,否则取消之后再次调用合约的话,会需要再额外支付一笔GAS。

所以,为了避免钱包被过度授权,当我们在使用DeFi产品时,不妨仔细读一读弹出了授权声明,避免可能的风险。

钱包安全最重要还有助记词安全,这里就不再赘述了,大星也为大家整理一些日常使用钱包的安全建议,大家可以借鉴:

在DeFi赛道,比较常见的风险主要有以下几种,清算风险、无偿损失风险、智能合约风险,前两者是资产波动所产生自然损益,属于交易层面,更多是和宏观市场相关,后者则属于技术层面。

6月2日,央视CCTV13 新闻频道就揭示了一种涉及技术层面的诈骗形式,在这段长达12分钟的报道中,详细介绍了相关的诈骗流程,即在Uniswap平台任意发布一种虚拟货币后,然后通过改代码限制只能买不能卖,最后通过清空流动性跑路。

类似这种技术层面的攻击和诈骗,普通用户很难辨别,可谓防不胜防,对于一般投资者来说,不懂技术的话,也就只能从项目方、社区发展等角度来评判好坏了:

始终记住,高收益总是匹配着高风险,投资前做好风险预期,避免FOMO情绪,不要高估自己的能力,也不要低估资本利剑的锋利,不要到最后,本想着要等一曲华灯初上,结果你却在夜未央之时搁浅了。

#以上信息仅供学习与交流,不构成任何投资建议,如有错误欢迎指正#

上一篇:BTC是创造美好未来的唯一工具 金色财经
下一篇:UNI将会成为Oracle Token? 金色财经