10月30日，多鏈部署的去中心化交易應用（DEX）BXH被盜，損失了價值約1.39億美元的加密資產，此次安全事故發生在BSC鏈上的BXH協議，據該應用官方聲明顯示，以太坊、OEC鏈、Heco鏈上的BXH協議及資產未受影響，但出於安全考量，關閉了所有鏈上的對外服務。
事故發生后，根據區塊鏈安全機構慢霧科技的分析，被盜前，BXH管理錢包地址出現過「賦予攻擊合約管理權限」的操作，導致攻擊合約通過管理權限從BXH策略池資金庫將其管理的資產轉出，被盜的部分資金已跨鏈轉移。
失竊原因一出，輿論嘩然，BXH不幸地以安全事故的方式反應了它的中文花名「笨小孩」。
有人想不通為何BXH能將資金管理權限「拱手讓黑客」，也有人質疑該應用監守自盜，該應用的王姓主導人此前的負面信息再次被扒出。BXH其官方未就輿情進行過多回應，僅表示「私鑰泄露」，併發布100萬美元懸賞金招攬白帽子團隊追回資金。
由於BXH已經關閉了應用的充提功能，依賴該交易所流動性的機槍池應用Coinwind也因安全排查而關閉了其在多條鏈上的充提功能，而另一個機槍池應用Earn DeFi則因Coinwind的充提暫停而關了充提。
DeFi收益能「套娃」，安全事故出現時也會產生「套娃」反應。截至發稿，上述三個應用均未開放充提功能。
BXH管理權限「被黑」遭質疑
價值1.39億美元的加密資產被盜走一天後，北京時間10月31日，BXH在官方社交媒體上公示了其在BSC鏈上的資金池剩餘資產，包括USDT、USDC、BTC、ETH、BUSD、MDX在內，資產殘值約餘1.84億美元左右。
當前BXH在BSC鏈上的殘值剩1.84億美元
BXH官方表示，剩餘資產的提幣方案將在第三方安全聯合團隊確認事故原因和合約安全以及警方調查初步問題以後，出具資產提幣公告和其他補償方案。
此前的公開信息顯示，去中心化交易應用BXH於今年3月初始部署於火幣Heco鏈，曾以「短短10天內吸引了數萬用戶以及12億美金的TVL」的成績風靡DeFi火爆期；今年7月30日正式部署在BSC鏈上，此後又在以太坊和OEC鏈上「建站」。
事發前的10月25日，BXH剛在BSC鏈上啟動了借貸池挖礦功能，結果5天後就出了事兒。
區塊鏈安全機構、BXH的審計方之一慢霧科技已在事發后給出了初步分析，據該機構情報，黑客於27日13時（UTC） 部署了攻擊合約 0x8877；接着在29日08時（UTC）， BXH項目管理錢包地址 0x5614 通過 grantRole 賦予攻擊合約 0x8877管理權限；30日03時（UTC），攻擊者通過攻擊合約 0x8877 的權限從 BXH 策略池資金庫中將其管理的資產轉出；30日04時（UTC）0x5614 暫停了資金庫。「因此，BXH 本次被盜是由於其管理權限被惡意的修改，導致攻擊者利用此權限轉移了項目資產。」
追蹤也在事發后的10月30日開始了，慢霧科技於當日的北京時間16時24分公告，黑客在BSC鏈上的初始獲利地址已將 4000 ETH 從 BSC 鏈轉移到 ETH 鏈，接着將300 BTCB 兌換為 renBTC，跨鏈到了兩個地址上。
如按照BXH事發后的公告，被盜資金的轉移鏈條已經在多個安全機構的追蹤中，該應用也已經發布了100萬美元的懸賞公告，計劃招攬白帽子團隊進行資金追回。
慢霧科技的「初診」一出，網上輿論及BXH的用戶紛紛表示不解，有人疑惑，BXH的錢包管理權限為何會拱手讓予黑客，也有人將此質疑為項目方的監守自盜。BXH目前沒有應對這些輿情，僅表示「私鑰泄露」。
官方「私鑰泄露」說暴露了該交易應用在私鑰管理上的漏洞。DeFi領域的KOL神魚就有疑問，私鑰「為啥不多簽，為啥不加時間鎖」。對於這類疑惑，BXH也尚未對外給出答覆，有待事後的更詳細的安全分析復盤。
媒體《巴比特》援引加密資產存管服務商安全鷺說法稱，加密資產的管理者需要更加重視單私鑰管理中帶來的安全風險，應儘快把Owner私鑰升級為多簽管理的方式，避免私鑰單點風險。而通過鏈上合約多簽或者MPC多簽，均可以實現對Owner私鑰的多簽管理。
可見，私鑰安全風險雖有，但也有技可施，掌管着用戶上億美元資產的BXH在私鑰管理上失職了。
兩個第三方機槍池連環關停充提
儘管事故發生在BSC版的BXH中，以太坊、OEC及Heco上的資產並未受到影響，但該應用出於安全考量，還是關閉了其在各個鏈上的服務功能。
BXH暫時關停服務后，DeFi「套娃」效應的暗黑一面也出現了，依賴BXH流動性的第三方機槍池應用CoinWind也在10月30日緊急地關停了其在BSC、Heco及以太坊鏈上的部分充值和提現功能。結果，另一個機槍池應用Earn DeFi的官方公告稱，因為CoinWind暫停充提，他們也停了充提。
BXH被盜的連鎖反應導致三個應用的用戶們目前都無法取出存儲在其中的資產。
蜂巢財經登陸CoinWind應用發現，該應用確實已經暫停了充提功能，收益雖然正常計算，但本金和收益均無法正常提取。Earn DeFi同樣如此。
兩個機槍池應用接連關閉充提
10月31日，CoinWind的公告顯示，由於BXH關閉了所有主鏈的充提，目前CoinWind無法從BXH取回部分投放資金，故跟隨暫停了Heco、BSC、ETH三條主鏈的充提，且相關數據暫無法準確計算。該應用表示，BXH如在確定無風險后開放Heco、ETH充提，CoinWind也將開放。現階段，Heco、ETH主鏈的CoinWind用戶的本幣及收益未受到影響，該應用正在全力跟進BXH在BSC鏈本次被盜資產的追回情況、損失情況和開放充提的時間以及資產提取方案的處理進度。
CoinWind暫停充提后，Earn DeFi僅在用戶群中通過小助手發了一紙公告，官網及官方該公告顯示，由於CoinWind緊急關閉了三條鏈上的單幣質押及DAO充提，Earn DeFi用戶在ETH、BTC、USDT池的充提會受到影響。具體多少資金被波及，該公告同樣沒有明說。
從雙方的公告看，機槍池應用CoinWind的投入及收益來源之一是BXH，而Earn DeFi的部分收益耕種區是CoinWind，結果，城門失火，殃及池魚。池是機槍池，魚是這些應用的用戶們。
需要關注的是，很多值得深思的細節問題也在事故發生后浮出水面。
比如，CoinWind官方社群的管理員就表示，他們與Earn DeFi並無關係，雙方沒有合作，也從未收到過對方前來存幣的對接信息，對方自事發后也沒有給出與CoinWind交互的合約地址。有CoinWind用戶認為，Earn DeFi在「甩鍋」，仍在使用該應用的用戶「要小心了」。
Earn DeFi也沒對對方的說法給出更多回應，但從其自身公告看，Earn DeFi作為機槍池「寄生」在另一個機槍池的做法多少顯得很懶惰，一般情況下，交易應用的挖礦池才應該是機槍池們獲取高收益的主要來源，結果CoinWind關充提，Earn DeFi三個主流單幣池就受了影響。
再比如，有用戶對CoinWind將資產投入到屢受爭議的BXH感到不滿，「早知道是投入BXH，我就不再CoinWind存幣了。」用戶有此情緒皆因今年7月，BXH被多家自媒體深扒了主導成員的「不靠譜」行徑，該應用的主導者王小彬被批評連續兩年在區塊鏈領域「發幣、圈錢」、「10個項目全是空氣」，而王小彬此前在互聯網領域創業時曾出現過產品跳票不發貨、公司倒閉、欠薪成老賴被限制消費等「黑歷史」。
有CoinWind用戶認為，將用戶資產投入到團隊有爭議的應用中去賺取收益，已經是風險前兆。
CoinWind社群管理員針對「為什麼選BXH機槍」作出解釋稱，他們對BXH做了盡職調研，包括對接入的所有其他池子都會做調研評估，BXH的審計報告沒有問題，且基本是實名項目。「作為機槍池，我們的義務就是選擇收益高且較為可靠的池子投入，這次BXH被攻擊是由於私鑰被盜，就CoinWind而言，這確實屬於人力不可抗因素。」
BXH被盜需要反思自身的私鑰管理問題，而對機槍池來說，至少有一些用戶建議是值得這類收益管理應用們應該考慮的，特別是一個個DeFi應用都在朝着DAO發展時——公開、透明的告知用戶資金配置的去向。
不要以「機密」為由敷衍用戶，配資策略也許是機槍池的生存和競爭的壁壘，但公布資金被分配到了哪些收益耕地中並不太影響機密策略的具體執行，讓用戶知情權和選擇權得到提前滿足，這不正是區塊鏈所倡導的精神嗎？
本文鏈接：https://www.8btc.com/article/6703829
轉載請註明文章出處