北京时间8月10日晚10点间，加密资产跨链充提协议Poly Network被黑客袭击。

其资金池被洗劫一空，累计被盗走了高达6.1亿美元的加密资产。这一数字创造了整个加密货币历史上最大的被盗金额。

图：黑客在ETH主网上盗取价值超1.9亿美元稳定币的提款记录

Poly Network被袭击后，许多加密领域的安全公司都对黑客盗取资金所利用的漏洞展开了调查。

8月11日上午，慢雾安全团队分析指出：

被攻击的漏洞在于“EthCrossChainData ”合约的keeper（验证节点）可以由“ EthCross Chain Manager ”合约进行修改。

而与此同时，“EthCrossChainManager” 合约的“verify HeaderAndExecuteTx”函数可以通过 “_execute CrossChainTx ”函数执行用户传入的数据。

因此黑客通过此函数传入了精心构造的数据，将“EthCrossChainData” 合约的keeper修改为了黑客指定的地址。

通俗来说，黑客攻击的方法是在A公链上发起了一笔跨链交易，其内容是调用B公链上的跨链合约中更新keeper的功能，将keeper替换为黑客所掌握的地址。

由于不同类型的跨链交易的验证是通用的， 原先的keeper并不审核交易的具体内容，所以黑客的这笔交易被多个keeper确认并同步到B公链上。

B公链的跨链合约代理执行该请求，执行后验证跨链交易的keeper就被更新为黑客所掌握的地址了。

随后，拥有keeper的黑客便可以随意支配跨链合约资金池中的资产。

北京时间8月11日凌晨，Poly Network开发者团队在推特上确认了攻击事件，并公布了黑客的钱包地址。

随后，开发者呼吁相关公链的矿工和各中心化交易所提供援助、冻结黑客盗取的资产，并声称将采取法律行动来敦促黑客还款。

图：Poly Network开发者团队的声明和公开信

在Poly Network开发者团队发声后，许多团队都进行了相关工作。

一方面，各KOL和社区团队利用其公众影响力，在社交平台上公开向黑客喊话、声讨和规劝。

另一方面，许多安全公司开始追踪黑客的线下信息，例如慢雾安全团队通过链上及链下追踪关联发现黑客的邮箱、IP及设备指纹等信息。

此外，稳定币发行公司Tether宣布冻结了黑客盗取的3300万USDT。

最终在各方势力的压力下，黑客放弃了对所盗取资产的支配权，并将其逐步地退还给了Poly Network开发者团队。

根据Poly Network开发者团队在推特上公布的信息，截止到8月19日，黑客已经退还了价值约4.27亿美元的加密资产。

图：Poly Network开发者团队的公告

通过此次Poly Network的例子我们可以看到，当DeFi项目发生风险时，社区和开发团队的积极性和力量显得尤为重要。

在确认资金被盗后，开发团队利用社交平台即时公布相关信息，社区也发动力量呼吁矿工、交易所和Tether公司采取行动。

同时，各安全公司也在积极寻找黑客的蛛丝马迹，并与其进行谈判。

最终，在没有真正利用现实社会中的法律武器的情况下，黑客同意退还所盗取的资产，成功实现了用加密世界的方式解决危机。

这一事件同样对DAO有着深刻意义。

DAO英文全称是Decentralized Autonomous Organization ，即去中心化自治组织。

有了此次Poly Network事件的经验，未来DAO一定会在DeFi项目中发挥更关键的作用。在项目日常运行中，DAO可以决定是否接受一项新的提议，从而影响项目的发展轨迹。

在面对危机时，DAO代表了大部分持币者的利益，积极与外界进行沟通，维护整个项目的稳健发展。