黑客的狂歡，限於技術掣肘的DeFi如何破局？
2020 年3 月Compound 推出“借貸挖礦”模式，讓沉寂多時的幣圈再次燥動起來。一位參與過DeFi 挖礦的“礦工”表示，為了搶到頭礦，他把賭注押在未經測試的代碼上，“不管安不安全，先把頭礦搶了。”
開發者們更急，為了快速上線主網，從新發布的代碼中獲得最大收益，他們直接略過了安全審計的步驟。
二級標題
二級標題
驚險時分：24小時發生兩起攻擊事件損失近800萬美元
11月17日，PeckShield 監控到DeFi 協議Origin Protocol 穩定幣OUSD 遭到攻擊，攻擊者利用在衍生品平台dYdX 的閃電貸進行了重入攻擊（Re-entrancy attack)，造成價值770萬美元的損失。
二級標題
二級標題
上線僅48小時後即遭伏擊
PeckShield 通過追踪和分析發現，首先，攻擊者調用DInterest::deposit() 函數將穩定幣儲存在資金池中，此時，存款者會收到一個新的depositID，它相當於非同質化通證（ NFT），同時MPHMinter 合約會開始鑄造MPH 代幣；
隨後，調用fundAll() 函數購買浮動利率的債券，在此步驟中，用戶可獲得MPH 代幣和一個fundingID （非同質化通證）；
二級標題
二級標題
利用另一漏洞僥倖逃過一劫
事實上，MPHMinter 合約還有一個漏洞，而開發者利用此漏洞僥倖逃過一劫，使得此次攻擊暫未造成任何經濟損失。
首先，開發者調用takeBackDepositorReward 將所獲MPH 代幣從Uniswap V2: MPH 4 轉移到govTreasury（相當於mph 的資金庫），該函數沒有設置門檻，任何人都可調用此函數將MPH 代幣轉移到govTreasury中。
由於攻擊者將獲得的MPH 代幣存入了Uniswap V2: MPH 4 池子當中，而88mph 項目方自己掏空了該池子，然後做了快照，因此暫未造成任何經濟損失。
PeckShield 相關負責人表示：“黑客們的攻擊可能會毀滅或'殺死'一個項目，DeFi 們不要存在僥倖心理，應該做好充分的預防措施。如果對此不了解，應該找專業的審計機構對代碼進行徹底地審計和研究，防範各種可能發生的風險。”
開發者編寫的每一段代碼，就如同工業生產中的螺絲釘一般，即使很微小，卻與DeFi 行業的興衰成敗緊密相連。
DeFi 的生態仍處於早期發展階段，但區塊鏈的核心價值在於普世的信任，如果DeFi 們仍一味追求快速上線主網，忽視代碼的審計安全，最終只能將社區成員的信任消磨殆盡，成為沒有靈魂的軀殼。
