Solana 算穩項目 Nirvana Finance 重啓：首個因智能合約攻擊被定罪案例的始末

上周發生了諸多重大事件，其中联准会採取了相對激進的降息措施，降息50個基點。與此同時，日本央行選擇維持現狀。這些動向預示着在未來幾周內，市場可能不會面臨過度利空的信息。關於這些事件的深入分析已有諸多文章，此處不再贅述。在這個過程中，投資者主要需要關注兩個關鍵邏輯來把握風險：一是就業市場是否如期恢復，二是通脹重燃的風險。

除此之外，一則引人注目的消息是Solana生態中的算法穩定幣項目Nirvana Finance宣布重啓V2版本。該項目曾在2022年7月遭受黑客攻擊，損失超過350萬美元後被迫中止運營。據悉，攻擊該項目的黑客已被定罪，而項目能夠重啓意味着相關司法機構可能已完成對被盜資金的處理。這一事件可能成爲美國首個因智能合約攻擊而被定罪的案例，對於海洋法系具有標志性意義，預計今後類似案件的處理流程將得到顯著改善。

Nirvana Finance 遭受閃電貸攻擊的背景

Nirvana Finance是Solana生態中的一個算法穩定幣項目。該項目於2022年初啓動，但在同年7月28日遭受黑客攻擊，導致其穩定幣NIRV的所有抵押品（約350萬美元）被盜。攻擊手法頗爲獨特，盡管該項目的合約並未開源，黑客仍能利用Solend的閃電貸功能獲利，這一度引發了對項目團隊監守自盜的質疑。

值得一提的是，在遭遇攻擊前，Nirvana Finance曾宣稱完成了"自動化審計"，但事實證明這並未起到應有的防護作用。項目聯合創始人Alex Hoffman在接受媒體採訪時透露，攻擊發生的那周，團隊剛開始進行審計工作。他坦言，最初並未預料到項目會受到如此廣泛的關注，直到一些媒體的報道導致總鎖倉量（TVL）大幅增長。在項目取得初步成功後，Solana的首席執行官Anatoly Yakovenko還親自督促進行智能合約審計，並試圖加快審計進程。

在資金被盜後，項目陷入停滯，但其Discord社區一直由官方人員維護。社區持續監控被盜資金的動向，但由於黑客採用了tornado和門羅幣等隱私保護手段，追回資金的努力一度陷入僵局。

事態在2023年12月14日出現轉機。一名名叫Shakeeb Ahmed的前亞馬遜高級軟件安全工程師在紐約南區法院承認了一項與Nirvana Finance和另一家未指明的去中心化加密貨幣交易所遭黑客攻擊有關的計算機欺詐指控。美國檢察官辦公室表示，這是歷史上首個因黑客攻擊智能合約而被定罪的案件。

盡管項目遭受攻擊，創始人並未停止腳步，而是轉而開發了其他項目，如superposition finance和concordia systems。這也體現了保持一定匿名性的優勢，至少能避免負面情緒的轉移。

2024年4月15日，案件迎來宣判，Shakeeb Ahmed因入侵和詐騙兩家加密貨幣交易所被判處三年監禁。隨後在6月6日，被盜資金被轉回團隊指定帳戶，標志着項目被盜資金正式追回。

案件的真正源頭：Crema Finance

實際上，這起案件的源頭應該是Crema Finance，而Nirvana Finance是在黑客被捕後主動交代出來的。

當時34歲的Shakeeb Ahmed是一家國際科技公司的高級安全工程師，專門從事智能合約和區塊鏈審計，精通軟件反向工程。這解釋了爲何Nirvana在未開源的情況下也會遭到攻擊。反向工程技術能將編譯過的執行碼還原爲人類可讀的高級語言。盡管相關合約未開源，但智能合約的所有編譯碼都存儲在鏈上，熟悉此技術的開發人員可以輕鬆獲取。

美國司法部公開的文件顯示，案件的源頭是一個在2022年7月遭攻擊並損失約900萬美元的去中心化交易所，經比對應該是Crema Finance。2022年7月4日，Shakeeb Ahmed通過閃電貸攻擊了該平台，並提出了250萬美元的"白帽賞金"以贖回其他用戶資產並放棄追訴。最終，Crema Finance同意接受約168萬美元的"白帽賞金"。

Nirvana Finance是在黑客被捕後主動交代出來的。定罪證據包括對其個人電腦網頁瀏覽記錄的回溯，以及他在發起攻擊後使用的各種混淆手段，如混幣協議、Tornado和門羅幣等。

那麼，是什麼導致Shakeeb Ahmed最終被捕？可能有兩個原因：

1. 根據攻擊發生時SolanaFM的分析，攻擊者要麼與某交易所地址進行交互，要麼與與該交易所相關聯的嵌套交易所地址交互，因爲攻擊地址的初始資金來源於此。

2. 對Tornado Cash的使用失誤。Tornado Cash的資金混淆效果與存入資金的時間長短和期間發生的贖回交易數量有關。Ahmed在攻擊後不久就將資金存入Tornado，但很快就有贖回交易發生，且贖回的資金最終進入了某中心化交易所。這似乎暗示司法機關是通過與上述兩個中心化交易所合作，最終在紐約逮捕了Shakeeb Ahmed。

無論如何，被盜資金的追回是一件好事。這一事件反映出兩個問題：首先，對於DApp開發者來說，資金安全是必須重點考慮的維度。其次，此類案件現在有了處理的參照藍本，對相關行爲應該會產生一定的震懾作用。