4月17日，去中央化稳定协议Beanstalk受到闪电贷攻击，丢失了大约1.82亿美元的加密货币，攻击者从中获利近8000万美元（撤除攻击所需的一些借贷资金）。
Beanstalk Farms是一个旨在平衡不同加密货币资产供需的去中央化金融（DeFi）项目，2021年8月基于以太坊构建，其发行的美元稳定币名为BEAN。在其运行的系统中，参与者通过向中心资金池（“筒仓”）贡献资金来得到褒奖，该资金池用于平衡一个代币（称为“豆子”）的代价，约为一美元。
Beanstalk的创建者是一个名为Publius的开拓团队，和其他DeFi项目一样，参与者可以对代码的修正进行集体投票。然后可以得到与他们所持有的代币代价成比例的投票权。正是这样一个机制让攻击者钻了空子。
这一攻击显然对Beanstalk造成了很大的打击，导致其加密资产锁仓代价（TVL）归零，原来锚定1美元代价的稳定币BEAN一度跌至0.063美元。
用闪电贷“空手套白狼”
这个空子便是闪电贷。Beanstalk系统中用于投票的资金池可以通过闪电贷来创建，由于缺少防闪电贷机制，攻击者借用协议支持的代币并用投票的办法通过了提案。
闪电贷是一种关于DeFi无抵押贷款的新思路，所有操作都在一笔交易（一个区块）中完成，它是一种无抵押贷款（但需支付较少的额外用度），具有能在链上快速实行的特点。由于代码担保在一定韶光内（以太坊大约是13秒）偿还借款，如果资金没有返还，那么交易就会被还原，即撤消之前实行的所有操作，从而确保协议和资金的安全。
闪电贷大大降落了对资金的需求和交易的本钱，但是近年来不少“有心人”想要用其“空手套白狼”，导致defi项目被攻击。
这次的事宜也是个中之一。根据区块链安全公司CertiK的剖析，Beanstalk攻击者利用去中央化协议Aave得到的闪电贷款，借入近10亿美元的加密货币，并且将这些加密货币换成豆子，以得到项目中67%的投票权。节制了多数的投票权，攻击者就能批准实行代码，将资产转移到自己的钱包里。然落后击者立即偿还闪电贷，净赚了8000万美元。
不到13秒，8000万美元就进了攻击者口袋。
闪电贷攻击次数上升
正如CertiK首席实行官兼联合创始人顾荣辉所说，近年的闪存贷款攻击有增加的趋势。
比如，2020年11月，去中央化金融协议Value DeFi遭到了闪电贷攻击，攻击者从Value协议的金库中转移走了大约700万美元（有趣的是，之落后击者又归还了200万美元）。2021年5月，DeFi协议Spartan Potocol遭到闪电贷攻击，丢失3000万美元。
发生了这么多的闪电贷攻击事宜，使许多DeFi项目遭受到巨大的打击。若何才能更好地预防这类攻击的发生呢？顾荣辉说道：“这些攻击进一步强调了安全审计的主要性，也强调了在编写Web3代码时要把稳安全陷阱。”
在这次Beanstalk闪电贷攻击事宜中，Publius团队承认，他们没有利用任何条款来降落闪电贷攻击的可能性（可能由于这种攻击在之前并不常见）。
加密货币借贷平台Fringe Finance的首席技能官Brian Pasfield表示，去中央化的管理构造（DAO）也存在着一些问题。Pasfield说：“DAO管理目前是DeFi的趋势，虽然它是去中央化过程的一个必要步骤，但该当逐步进行，并且仔细权衡所有的风险。开拓职员和管理职员该当把稳一些新创造的故障点，无论是故意还是无意创造的。”
受害者只能自认晦气
对付那些这次攻击的受害者（失落去所投币的Beanstalk的投资者）来说，只能自认晦气了。遭遇攻击后，Beanstalk的创始人发文写道：“该项目‘极不可能’得到救助，由于它不是在VC支持下开拓的。”乃至还很不乐不雅观的补充说：“我们塌台了。”
在该项目的Discord做事器中，许多用户声称已经丢失了数万美金的投资加密货币。自攻击以来，黑客一贯在通过Tornado Cash转移资金，Tornado Cash是一个以隐私为主的稠浊器做事，已成为黑客洗被盗加密货币资金的首选。由于大部分被盗资金现在已经被粉饰了，以是追回的可能性很低。
参考资料：
https://baike.baidu.com/item/DAO/55746378
https://www.theverge.com/2022/4/18/23030754/beanstalk-cryptocurrency-hack-182-million-dao-voting
《新程序员001-004》全面上市，对话天下级大师，宣布中国IT行业创新创造
造诣一亿技能人
