Balancer攻击事件背后的问题不仅仅是安全团队裁员,还有中心化前端的隐忧值得关注。

Balancer攻击事件不仅涉及安全团队裁员,还涉及中心化前端的隐忧值得关注。

Balancer 在前端遭受的攻击以及背后的战略转变故事

image

撰稿:Luccy、Kaori,BlockBeats

编辑:Jack,BlockBeats

9月20日,Balancer在新一轮攻击中损失达23.8万美元,慢雾区情报分析认为此次为BGPHijacking攻击,访问该网站链接钱包后会遭受钓鱼攻击。随后,慢雾MistTrack表示Balancer攻击者费用来自网络钓鱼组织Angel Drainer。目前,Balancer表示前端已恢复安全并重新由Balancer DAO控制。

BGPHijacking,也称为BGP路由劫持,这是一种前端攻击手段。在BGPHijacking攻击中,攻击者通过发送虚假的BGP路由更新信息,使其他路由器将流量引向错误的方向,从而实现流量的窃听、篡改或中断。简单地说,网站能够发送垃圾邮件批准交易,从而允许恶意合约转移用户的所有资金。

这也是与以往攻击事件最大的不同之处——攻击瞄准了Balancer前端。

OpCo、Orb Collective和发展战略转变的代价

值得注意的是,在此次攻击前,Balancer还有一则重要新闻,4月14日,Balancer的服务提供商Balancer OpCo宣布已解雇了两名工程师并减少了运营预算。

Balancer OpCo是Balancer基金会的全资子公司,为Balancer提供管理和运营服务提供商以及前端开发和工程工作流程。从去年8月至今年6月,在Balancer DAO中涉及Balancer OpCo的7条提案显示,其中5条提案均显示通过,除了团队进行融资外,还另将25万BAL转移给OpCo,以便OpCo能够致力于代币的私人销售。目前,为平台下一年份运行进行融资的提案也在初步讨论阶段。

然而,随着协议将重点转向改善用户界面和营销,Balancer OpCo人员数量也随之减少。为此,Balancer将建立一个专门的营销团队Orb Collective,负责讨论Balancer如何与平台用户合作的机制,通过合作伙伴关系、营销、集成、设计和人员运营工作来促进Balancer协议的发展,以扩大Balancer协议的全球采用率。去年8月,Orb Collective正式推出,团队表示新的推广策略还将采用「加密Twitter原生声音」。

值得注意的是,今年4月,Balancer治理在提案中更新了Orb Collective的财务计划,以续签Certora的智能合约审计合同,自2023年第二季度开始从Orb Collective的预算中分配给OpCo,目的是保证Balancer用户的资金安全。但Balancer DAO社区成员以近80%的比例否定了Balancer OpCo Limited进行智能合约审计的提案,这也是在7条提案中唯一被否定的提案。

image

同月,Coindesk发表了一篇名为《DeFi协议Balancer在战略转向之际削减预算和员工人数》的文章,称Balancer将做出战略调整。据文章报道,Balancer OpCo团队在今年4月有20多人参加的Discord电话会议上透露,该公司已解雇了两名工程师并减少了运营预算。

Orb Collective首席执行官Jeremy Musighi表示:「我们为Balancer品牌制定了新愿景,对此我们感到非常兴奋。」「与此同时,我们一直在对营销团队人员进行一些调整,以确保我们有合适的人员来执行这一新愿景。」2022年第三季度,Orb团队申请了7.6万美元的运营预算,想要在社交平台、播客、社区关系维护等方面为Balancer拓展声量。第四季度,预算申请提案声称由于处于熊市周期,Orb团队的运营预算只有4.8万美元,几乎下降了50%。

同时,团队表示这是为了改革品牌战略,未来会将重点转向改善其用户界面和营销。这个消息公布时,Balancer面临了一些市场压力,也许正是这次前端裁员行动,给攻击者提供了另辟蹊径的机会。

这次Balancer的前端遭攻击,很难不将其和智能合约审计提案未通过以及前端人员被裁联系起来。也许战略转变是假,熊市周期资金紧张开源节流是真。

中心化前端的隐忧

除了Balancer团队内部的原因,此次攻击同样引起了社区对DeFi协议中心化前端的担忧。

DeFi发展史中,由于前端受到攻击而造成损失的事件并不多见,2021年12月,去中心化组织Badger DAO的网站前端代码里面被注入了一系列的恶意代码,攻击者可以在用户不知情的情况下确认交易将代币转走。2022年5月,Cronos生态DEX MM.Finance遭到前端攻击,黑客利用DNS漏洞从用户那里窃取超过200万美元的资产。

上一次大规模讨论去中心化前端还是因为Tornado Cash遭受制裁,前端被封禁。但如今前端还承受着安全压力。针对前端攻击有人认为ENS可能是一个解决方案,但ENS域名解析是「中心化」的,因此用其抵御「对去中心化的攻击」并不是非常现实。

尽管DeFi合约一旦部署不可篡改不可撤回,理论上来说不会受到人为干预,但目前绝大多数前端仍是通过传统架构实现,虽然网页自身也在不断在进化和发展,但域名、网络服务、服务器、存储服务等方面都存在很多潜在的威胁,同时针对前端的攻击往往容易被开发者忽视。

image

作为DeFi OG的Balancer如今也受到前端攻击,由此社区出现了呼吁搭建去中心化前端的声音。不过,这样的声音并不是太多,相比于Uniswap和Tornado Cash的前端被封禁激起的热度,目前针对黑客攻击前端我们普通用户需要做些什么,仍需加密行业持续进行探索。