近乎是在同一时间，今年所发生的两起较大的DeFi安全问题事故都有了最终的答案。在北京时间8月12日，历经约52小时的Poly Network事故，黑客最终选择将所有资产返还；另一起起始于6月23日的BSC:StableMagnet案件（下述简称:SMAG），历时一个多月的时间英国警方也回收了大部分资产，并发布了官方新闻稿。同样的DeFi安全事故，同样的happy ending，不同于Poly Network案件中大型机构在行业中一呼百应、集百家之力让黑客迅速屈服，SMAG事件讲述了一个没有机构支持下的去中心化社区如何团结自救、与顽固黑客开展激烈而漫长的对抗、最终取得胜利的斗争故事。

也是这个没有机构支持下的去中心化社区，实现了多个”第一次”。第一次推动实现了与中心化力量的通力合作，在警方的参与下破获大型DeFi案件。DeFi攻击历史上第一次由警方推动链上退款。而且发起的警方是英国警方，众所周知英国是传统金融与传统秩序的桥头堡，中心化世界的最大势力之一。此举在DeFi与中心化世界都有里程碑意义。

最近因Poly Network案件的影响，DeFi安全又成为了一众农民和加密社区广泛讨论的现实问加密社区通力合作成功破获并追回数字资产的DeFi安全案件，具有重要的里程碑意义。

通过对SMAG案件亲历者的采访，将本案件为大家全方面展开。

受访者具有多年区块链行业从业经验，是DeFi老农民，有较广的加密社区人脉，并且是该案件的重要报案人之一。

下面我将从受访者的视角为大家展开。在不改变事件原貌的情况下，结合了事件相关报道，对某些采访内容在文字上做了一定的修饰。（以下“我”/“我们”为受访者/加密社区科学家好友们）

出事前：

6月20日（出事前三天），我通过BSC Daily解到了BSC上面的StableMagnet矿池，当时稳定币的年化高达上千几百，非常有吸引力。这个项目刚推出时，并没有引起太大关注。多数普通投资者不懂代码，将其当作是一个新的土狗项目，多数小散是小资金参与。与普通人不同，老玩家和科学家通过分析合约安全性去判断是否值得冒险。作为DeFi老农民，我保持了一贯习惯，研究了相关资料，并与圈内几位科学家好友交流过意见后，我们认为其安全。并且由于其超高的APY，我们选择了重仓参与。该项目虽然没有多大公众知名度，但这个项目已经悄悄地在科学家圈子流传开来，两天内TLV就从几百万U增加到2400万U。

出事前的“警报”：

在共计发生之前的几个小时，科学家和一些加密社区成员收到了来自匿名消息来源的信件，信件中暗示SMAG将Rug Pull。我们没有证据，无法核时信件中的说法，并且科学家们在“进入”前便研究过代码并未发生什么异样。如果我们在社区公开警告并且指控该项目是虚假的，很有可能会引起强烈的FUD并最终可能伤害到这一个无辜的项目。这封匿名信件让我们有些左右为难，尽管我们开始有了一些怀疑，但我们并没有对此事进行过多的表态。这段内容有混淆。情况是部分加密社区成员收到匿名信，rekt是其中之一。Rekt虽然提前看到了但选择了没有公布，多数收件人是没有看到。

事故发生：

6月23日亚洲时间凌晨，StableMagnet Finance趁着多数投资者的睡眠时间，发动攻击，盗取了用户2400万美元稳定币跑路，并且洗劫用户的钱包。项目网站、电报群、推特全都都关闭和解散。项目发生不久，就已经迅速被社区识别，随机社区立刻向币安报告情况。但没有取得像Poly事件中那么迅速的关注，黑客有上千万美金的资产甚至是通过币安转出的。

维权：

约有超过1000个钱包在SMAG上拥有资产。在事故发生后不久，中文和英文的项目维权群便迅速建立了起来。开始是不知所措，慌乱随即而来。社区虽然在案发后十几分钟便迅速联络交易所，但该交易所超过六小时都未进行响应，甚至有上千万美金的资产成功通过交易所跨链转移（待遇与Poly事件天差地别）虽然该交易所虽然未能阻止上千万美金资产流出，但该交易所在事后也快速启动了调查，汇总线索。

虽然这个项目投资者没有广泛社会资源与人脉关系的头部机构，未能取得像PolyNetwork事件那样一呼百应，取得快速而广泛的关注与业内各方支援。但加密社区没有放弃，别忘了这个项目的参与者有很多科学家。社区与骗子的对决也将正式开始。以Ogle为核心的社区调查组自发地成立了起来，开始对黑客留下的所有痕迹与线索开展社区调查。

重整旗鼓：

虽然我们没有阻止这次袭击，并且跑路消息也并不容易接受，但我们的一些怀疑与收到的匿名信件确实相关，我们得出结论Techrate审计并非是完全可靠的。那封匿名信件重新进入到大家眼前，科学家们和安全专家们也开始重新对该项目进行梳理。

漏洞是埋在未验证的函数库里，而我们起初以为函数库是经过验证的，当时并没有人去核实这一点。

Rug Pull从这笔交易开始：

       

（图片来源:rekt.news）

最初被盗走的2220万美元的稳定币是通过未经验证的源代码从StableMagnet 3Pool中提取的，随后金额上升到2700万美元，并仍在增加。

安全公司Rugdoc在推特上发文称，Ethersacn和BSCscan资源管理器不验证链接库源代码，这允许利用者部署一个与源代码完全不同的库。因此SMAG的SwapUtils库实际上被没有被资源管理器所检查，甚至都没有警告源代码未经被验证。

包含实际漏洞利用的SwapUtils库：

0xE25d05777BB4bD0FD0Ca1297C434e612803eaA9a

       

（图片来源：推特@Rugdoc.io）

未经验证的SwapUtil库不仅包含了可以抽取所有交易对的代码，还包含了将更多Token转移给所有批准SMAG的人的代码。

Dopple和StableGaj等基于相同的代码，这类协议仍在运行，它们的SwapUtils库同样未经验证。

逃跑路线：

在我们洞察了黑客的Rug Pull后，他们的逃跑路