以太坊:盗走360万枚ETH、改变以太坊历史，回顾这场史上最大链上攻击始末_Milkomeda

作者：

时间：1900/1/1 0:00:00

2月22日，《Unchained》主理人LauraShin在Forbes上发文表示，据其发现的相关证据显示，以太坊2016年TheDAO事件中黑客的身份疑似为TenX联合创始人兼首席执行官、奥地利程序员TobyHoenisch。LauraShin表示，根据其对嫌疑人的数据追踪以及区块链分析公司Chainalysis的链上分析，她锁定了TenX位于新加坡的节点地址。这起6年前的史上最大黑客攻击事件，又勾起了很多人的会议。

「当时我看到以太坊创始人Vitalik突然发了一句话，说TheDAO被黑客攻击了，钱正在被黑客拿走，我还以为是玩笑，然后我就懵了。」加密货币钱包ImToken的联合创始人Daniel说。

360万ETH，当时超过6000万美金，这是这场影响深远的黑客攻击事件的被盗金额。如果按照ETH的历史最高价格计算，360万ETH，价值接近175亿美金。

价值6000万美金的两行代码

直到现在，很多人在想起6年前加密行业这起黑客攻击事件时，估计还会心有余悸。

新加坡金管局提出数字货币的相关标准:金色财经报道，6月21日，新加坡金管局今日发布了一份白皮书，提出了一项共同协议，以规定使用数字货币的条件，如央行数字货币、代币化银行存款以及分布式账本上的稳定币。该白皮书是与国际货币基金组织、意大利央行、韩国央行、金融机构和金融科技公司合作编写的，概述了目的绑定货币（PBM）从发行到赎回生命周期的技术规范，以及与数字货币接口的协议等。新加坡金管局首席金融科技官Sopnendu Mohanty表示，行业参与者和政策制定者之间的合作有助于在使用数字货币的结算效率、商户收购和用户体验方面取得重要进展。更重要的是，它增强了数字货币成为未来金融和支付领域关键组成部分的前景。[2023/6/21 21:51:15]

大家都知道比特币是一个安全地记录了所有转账记录的全球账本，可以实现无障碍的点对点转账，以太坊可以看做比特币的2.0版本，可以把它看做是一台「全球计算机」，开发者基于以太坊，可以高效、快速地开发出很多上层应用。

在这样一个系统之上，很多致力于解决现实痛点的项目开始出现。当时，这种通过代码自行运作、不依赖个人主观意志的运作方式被很多人追捧，也是在这样的背景下，TheDAO诞生了。

PUMA开放3D空间Black Station:6月13日消息，运动品牌 PUMA 宣布开放 3D 空间Black Station，允许用户探索云端之城 UNKAI 和俱乐部 UNTER，PUMA RB Access Token 持有者可以购买实体 Rulebreaker 运动鞋和领取 2 款数字可穿戴设备。[2023/6/13 21:34:23]

它其实是由一家名为德国初创公司Slock.it发起的项目，这家公司当时做的是实体资产的上链业务，但因为很难在传统行业中融资，他们就萌生了一个大胆的想法：既然没人投自己，为什么不造出一个投资机构？

分布式自治组织的理念被他们引入，通过利用合约把一群利益相关者把钱放到一起，如果有人拿着商业计划书来寻求融资，所有人投票决定是不是要投资，如果成功了，大家共享收益。

它整个过程，其实是这样运作的：用户向它提起希望获得投资的proposal，在提案公示后，如果被超过半数以上的用户投票同意，那么这个虚拟「VC」就会拿出一笔钱，投给项目。被投项目需要保证将来其业务会通过这个合约连本带利，持续回馈给这个机构，而「VC」里的每个LP都能分到相应的收益。

Brave在其视频会议服务中推出带有NFT代币门控的Web3通话功能:5月24日消息，隐私浏览器Brave在推特上宣布，其视频会议服务Brave Talk引入一个Web3通话功能，允许主持人使用NFT和POAP进行代币门控访问。例如，社区可以为那些拥有特定收藏的NFT的人举行电话会议。所有Brave Talk用户都可以在任何浏览器上使用任何Web3钱包进行Web3通话。

虽然该功能仅支持以太坊NFT的代币门控，但Brave计划尽快扩展对非以太坊NFT的支持。将来，主持人可以根据特定的代币余额或以前的代币所有权授予访问权限，或者向参与者发送加密货币。[2023/5/24 15:23:03]

TheDAO这种完全凭借智能合约运行的方式得到了社区追捧。项目在2016年4月底开启募资，不到一个月时间，就吸引了11000名投资者参与，最终成功募集了1150万枚以太坊，这么多数量的ETH，占到了当时以太坊全网15%的流通量，总价值超1.5亿美元。也让TheDAO成为了加密史上募集到以太坊数量最多项目。

但危险的种子，在项目融资大获成功的消息传出时，就悄悄埋下了。

IgmnAI正寻求以5000万美元估值融资750万美元:金色财经报道，成立仅 2 个月的人工智能图像生成项目 IgmnAI 正寻求以 5000 万美元估值融资 750 万美元。IgmnAI 主要产品 Nai 是一个人工智能图像生成机器人，允许 Discord 和电报用户通过简单的文本命令生成艺术作品。

另据 CoinGecko 数据显示，IgmnAI 项目 Token IMGNAI 现报价 0.01917496 美元，过去一月涨幅达 354.2%。[2023/2/21 12:20:11]

当时，连团队都没想到，项目能融到那么多钱，自信的他们，把所有的ETH都放在一个地址里。这是一件非常可怕的事情，稍微有点常识的人都知道，如果你手上有巨额Token，最好是把Token分散存到多个地址，即便丢失了一部分，也不至于荡然无存。

木秀于林风必摧之。TheDAO成了别有用心的黑客攻击的「靶子」。

事实上，早在2016年5月份，以太坊团队成员就曾呼吁过，这类DAO项目可能存在安全问题，并给出了几种可能的攻击方案。6月11日，以太坊另一个项目也发现合约就存在这样的问题，所幸处置及时，没造成损失。

PancakeSwap 推出智能路由功能，可跨多个流动性池执行交易:11月25日消息，去中心化交易平台PancakeSwap推出智能路由功能，可连接AMM和StableSwap以提供更好的流动性和定价。当前PancakeSwap上的StableSwap仅支持BUSD和HAY之间的交易，未来将添加更多交易对及流动性池。[2022/11/25 20:45:31]

不过，即使团队也收到同样的安全报告后，他们还是没引起重视，以为漏洞不会产生威胁。另外，当时已经有数十个提案等着投票，如果合约暂停进行查验，估计社区也不能接受。

就在所有人自以为万事大吉的时候，危险降临了。

黑客非常聪明，他先在6月15日悄无声息地写了一个攻击合约，安静地埋伏两天，直到6月17日才开始行动。利用合约的漏洞，黑客从主合约中成功转出了超360万枚ETH，转入了一个childDAO中，这是一种递归式分割的方式，最终将收集到的币单次转走了。

出现问题的是下面两行代码：代码没错，就是顺序反了。

有人分析，如果程序员把两行代码的顺序上下换个位置，各个功能没有变化，但却能避免漏洞产生，没准TheDAO就成功了。

当然，这也只是美好的幻想，黑客就是利用了这个漏洞，成功转移了3百多万枚ETH，引起了加密社区的轩然大波。

这次攻击，让项目丢失了360万枚ETH，按照当时的价格，总价值超过6000万美金，如果按ETH历史最高价计算，这笔丢失的资产近175亿美金。这个消息很快影响到二级市场，以太坊价格从20美金，跌破13美元，下跌幅度超30%。

不过，狡猾的黑客没想到，因为childDAO的合约还处在创建阶段，有27天的锁定期，所以，他在短时间内也转不走这笔钱。

留给所有人的时间只有短短二十几天，大家必须在这笔钱被转走之前作出决策。

攻击发生后，Vitalik发了文章，还原了TheDAO被攻击细节，同时也给出了解决方案。他提议社区对以太坊区块链进行一次软分叉，把与之相关的交易认做无效交易，避免攻击者提走被盗的ETH。之后，再发起一场硬分叉投票，再将这笔ETH找回来。

币还没转走，以太坊社区就放出了这么一个大招，黑客坐不住了。

6月18日，这位自称主导了这场攻击的黑客现身，堂而皇之地发了一封致TheDAO和以太坊社区的公开信，他表示，自己对社区定义他的行为是「盗窃」非常失望，声称他获得的ETH是合法并正当的，「我的律师事务所表示这样的行为完全符合法律」。

不过有人发现，他留下的签名是假的，所以这封公开信可能是有人伪造。

6月19日，一位名为「daoattacker」的用户还在讨论该事件的slackchannel出没，在一场匿名对话中，他表示会采取措施暂停有组织地对他财产的「盗窃」行为，「很快我们就会制定一个智能合约奖励那些不支持软分叉的矿工，共计100万枚以太币和100枚比特币。」试图怂恿矿工不支持分叉。有意思的是，他还给讨论区留下地址的人发了几枚btc。

「黑客」的意思很清楚：不认可以太坊分叉。不过，对于他的辩护，社区大多数人可不会理睬。

很快，以太坊社区发起了一项是否支持硬分叉的投票，近97%的ETH持有者投出了赞成票，只有少数人不同意分叉，最终硬分叉方案一致通过。