吳說作者 | 吳卓鋮
本期編輯 | Colin Wu
10月30日，去中心化收益類協議 BXH 發生私鑰被盜事件，損失了價值約1.39億美元的加密資產，此次安全事故發生在 BSC 鏈上，據官方聲明顯示，以太坊、OEC 和 Heco 的鏈上資產未受影響，但出于安全考量，所有鏈上的充提功能都被關閉。
事件發生后，根據區塊鏈安全機構慢霧科技的分析，黑客于27日13時 (UTC) 部署了攻擊合約 0x8877，接著 BXH 的錢包地址 0x5614 于29日8時 (UTC) 通過 grantRole 將管理權限賦予了攻擊合約 0x8877，30日3時 (UTC) 攻擊者通過攻擊合約 0x8877 獲得的權限從 BXH 金庫中將其管理的資產轉出，30日4時 (UTC) 錢包地址 0x5614 暫停了金庫，因此，BXH 本次被盜是由于其管理權限被惡意地修改，導致攻擊者利用此權限轉移了項目資產。目前，黑客初始地址（0x48c94305bddfd80c6f4076963866d968cac27d79）里的4000 ETH已經從BSC轉移到ETH，還有300 BTCB兌換成renBTC轉移到新地址 (1Jw…9oU 和 1Fr…Vow)，區塊鏈安全機構派盾在推特上公布了截止11月1日被盜資金的去向：
此事一出，輿論嘩然，大家疑惑的是為什么 BXH 能將資金管理權限交給黑客，黑客不需要攻克復雜的智能合約，僅需獲取私鑰就摧毀了整個協議，這種盜幣手段頗為原始，不免讓人質疑是否是存在內鬼。隨后關于創始人的一系列黑歷史也被扒出，目前官方只是表示此次事件系私鑰泄露，并發布100萬美元懸賞金招攬白帽子團隊追回資金，
可是，風波并未就此結束，由于 BXH 已經關閉了提現功能，依靠它產生收益的機槍池項目也被迫關停了提幣功能，目前已有四個機槍池受到牽連，首當其沖的就是 Heco 上鎖倉量排名第二的 Coinwind（關聯金額高達1.5億美金），Coinwind 團隊表示正在全力跟進 BXH 被盜資產的追回情況、損失情況和開放充提的時間以及資產提取方案的處理進度。
不僅如此，由于 Coinwind 在 Heco 上鎖倉量較高，其他小規模的機槍池會直接選擇將資金鎖在 Coinwind 里并通過杠桿放大收益的“懶人式操作”，因此此次事件中這類項目自然也無法幸免。這現象背后反映的問題值得深思。
目前，機槍池的盈利模式就是不斷地尋找各種高收益的借貸協議，然后頻繁地存錢和借錢來賺取平臺 token，最后通過 boosting 放大杠桿倍數，用這種“搭樂高”方式呈現給投資者夸張的收益率，當然，這種方式在放大了收益的同時也放大的風險，任何一層發生本金損失都可能導致整個樂高坍塌，
因此機槍池的每一步操作，每一筆資金去向應當時時公開，就像公募基金公開持倉股一樣，讓投資人自行做出選擇。以 Yearn 為例，其機槍池中每一個資金池的投資策略和資金去向都需要 DAO 組織成員討論并投票，最后公布策略，如果用戶對某個資金池的投資策略不滿意，可以選擇不投，而其他很多機槍池在公開透明這塊做的很糟糕，尤其是大陸項目，暗箱操作頗多。此次事件，就有用戶對 CoinWind 將資產投入到屢受爭議的 BXH 感到不滿，他們表示如果事先知道就不會將資產存入 CoinWind。而 CoinWind 的回應卻是，他們對 BXH 做了盡職調研，BXH 的審計報告沒有問題，這次 BXH 被攻擊是由于私鑰被盜，屬于不可抗風險，然而，查看慢霧在3月份給 BXH 做出的審計報告卻發現：
（慢霧還表示后續的BSC審計并非由他們完成。后續審計似乎是由靈蹤安全完成）
目前機槍池只是在各借貸協議之間循環操作放大收益，從傳統金融的角度來看這顯然不可能持續性發展的。傳統世界只有銀行或一些大機構 (例如房地產商) 可以循環借貸放大貨幣乘數，普通人受監管限制不能這么做。DeFi 世界沒有監管，因此散戶可以像機構那樣循環借貸，不少用戶甚至以為這是 DeFi 特有的產品，事實上并非如此，監管不允許散戶這么操作自然是合理的，畢竟大多普通人的風險控制能力較弱。
這也是當下機槍池類產品最大的風險所在，根據風險高低主要分為三類：
- 低風險 – 簡單策略 – 單一資產抵押金庫（即穩定幣單幣質押）
- 中風險 – 簡單策略 – 流動性 token 與平臺 token 的自動復合
- 高風險 – 高級策略 – 使用多個協議的多層策略循環借貸（以 Yearn 為例）
不同類型的策略池風險等級不同，通常單一資產的策略池無常損失風險低于需要流動性 token 作為存款資產的策略池。這次盜幣事件大眾的關注點都在合約安全風險，其實這是區塊鏈產品共同的問題，但是機槍池的存在放大了這種風險，每次在策略中加入新協議時，都會增加一層黑客風險，其中任何一個環節出現問題都會影響整個機槍池，個人認為這才是最值得引起重視的。
現在已經出現一些基于期權組合策略、合成資產套利等對標傳統金融產品的協議，這些產品在傳統領域已經被驗證其盈利模式是可持續的。當然參與這些產品需要更高的技術門檻，這正是機構投資人的價值所在，專業的事交給專業的人去做在任何領域都是合理的。這也是機槍池未來發展的方向，像如今這種循環借貸實在技術含量偏低。如此看來，黑客采用這種頗為原始且似乎沒什么技術含量的盜竊手法，對大陸這些“樂高式”機槍池來說也不算辱沒，
