8月10日，跨鏈互操作協議Poly Network遭受黑客攻擊。 Poly Network發推文稱，經過初步調查，已找到漏洞的原因。黑客利用了合約調用之間的一個漏洞，攻擊不是由傳聞中的單個保管人造成的。同時，Poly Network還發布了至攻擊者的一封信。 Poly Network表示，希望建立溝通，並敦促攻擊者歸還被黑資產。此次被黑的金額是Defi歷史上最大的一筆。任何國家的執法部門都會將此視為重大經濟犯罪，攻擊者將受到追捕，再進行任何交易是非常不明智的。被盜資金來自數以萬計的加密社區成員。希望攻擊者與Poly Network團隊交談以製定解決方案。
慢霧團隊回顧攻擊細節指出，主要係因合約漏洞。本次攻擊主要在於EthCrossChainData 合約的keeper 可由EthCrossChainManager 合約進行修改，而EthCrossChainManager 合約的verifyHeaderAndExecuteTx 函數又可以通過_executeCrossChainTx 函數執行用戶傳入的數據。因此攻擊者通過此函數傳入精心構造的數據修改了EthCrossChainData 合約的keeper 為攻擊者指定的地址，並非網傳的是由於keeper 私鑰洩漏導致這一事件的發生。
隨後慢霧團隊給出細節描述：
1. 本次攻擊的核心在於EthCrossChainManager 合約的verifyHeaderAndExecuteTx 函數可以通過_executeCrossChainTx 函數執行具體的跨鏈交易。
2. 由於EthCrossChainData 合約的owner 為EthCrossChainManager 合約，因此EthCrossChainManager 合約可以通過調用EthCrossChainData 合約的putCurEpochConPubKeyBytes 函數修改合約的keeper。
3. 其中EthCrossChainManager 合約的verifyHeaderAndExecuteTx 函數是可以通過內部調用_executeCrossChainTx 函數執行用戶指定的跨鏈交易，所以攻擊者只需要通過verifyHeaderAndExecuteTx 函數傳入精心構造的數據來使_executeCrossChainTx 函數執行調用EthCrossChainData 合約的putCurEpochConPubKeyBytes 函數以改變keeper 角色為攻擊者指定的地址。
4. 替換完成keeper 角色地址後，攻擊者即可隨意構造交易從合約中取出任意數量的資金了。
值得注意的是，本次此次被黑的金額是DeFi歷史上最大的一筆，共計超6.1 億美元轉出至3 個地址。受此影響O3 Swap 跨鏈池大額資產被轉出。目前，安全團隊梳理髮現，黑客初始的資金來源是門羅幣(XMR)，然後在交易所裡換成了BNB/ETH/MATIC 等幣種並分別提幣到3 個地址，不久後在3 條鏈上發動攻擊。結合資金流向及多項指紋信息可以發現，這很可能是一次蓄謀已久的、有組織有準備的攻擊行為。
事件發生後，Tether 已凍結Poly Network 攻擊者地址上的3300 萬USDT。截止發稿，攻擊者也回應，如果我轉移了剩餘的幣，那將是十億美金級別的攻擊。我剛剛是拯救了這個項目嗎？我對金錢不太感興趣，現在考慮歸還一些代幣，或者將它們留在此處。隨後該攻擊者還稱，如果我製作一個新的代幣並讓DAO決定代幣的去向會怎樣？
隨著事件的發酵，8月11日，攻擊Poly Network的黑客在區塊高度13001631 轉賬中又表示，已決定歸還資產，不再創建DAO 組織。同時，在描述中，黑客自稱為傳奇。
儘管黑客已決定歸還資產，但有關DeFi安全的討論還在繼續。事實上，隨著DeFi的爆發式發展，相關安全事件頻發，跨鏈攻擊也不在少數。此前，Rari Capital就在跨鏈攻擊事件中損失1500萬美元。有分析聲音就此指出，DeFi協議之間的互操作性變得越來越複雜，相關的攻擊媒介也在增多，預計相關攻擊也會增加。
Roxe支付網絡技術VP Jesse對此指出，DeFi本來就是個黑暗森林，很多別有用心的人一直都在暗中虎視眈眈，甚至有些漏洞發現後，攻擊者只是在等更合適的機會，並不一定會急於出手，就像病毒的潛伏期一樣，在等更大的利益機會，未知的漏洞一定還有很多，只是還未爆發而已。
有市場聲音擔心，DeFi安全如果始終無法妥善處理，可能會打擊行業的信心。當然，另一方面可能會加快全球對行業監管。 Roxe支付網絡技術VP Jesse表示，從長期看，監管是必須的，隨著區塊鏈行業的不斷成熟，各國也一定會加強監管，這也是行業成熟的標記。無監管的混亂除早期帶來的所謂自由的快感，隨後一定會被少量的各類地下組織利用，從而損害大眾的利益。雖然有時候我們不喜歡政府的監管，但這種監管帶來的正面意義要遠比負面意義大。
在此背景下，作為普通投資者，應該如何保護好自己的財產？
Roxe支付網絡技術VP Jesse指出，區塊鏈一個很大的問題就是親民性不足，未接觸過的人很難理解，從而讓區塊鏈變成一個小眾遊戲。安全性上看似自己掌握自己的資產，但它卻要求每個用戶自己必須成為安全專家，隨時面對來自暗處的黑客攻擊。問題是，大眾並沒有足夠的能力去甄別和自我保護，很多時候只能依賴安全公司的審計，但這也不是100%安全的。相對傳統行業，DeFi還很年輕，很多東西還不完善，無法像政府背書的銀行一樣提供良好的安全保障。 DeFi最大的優勢是去信任，但這份信任是基於代碼的，而代碼的安全大眾又無法有效甄別，而黑客攻擊來源於知識的巨大不對等性，這也造成的DeFi的安全不是一個是或否的簡單問題。對於DeFi投資者，目前只能保護好自己的私鑰，不洩露，防止丟失。另外，盡可能的識別好的項目、識別經審計的合約。
比特派也在相關微博中建議，參與DeFi要用多地址，不同DeFi、不同資產用不同地址區分開來，這樣即使某個DeFi項目有危險，也不會影響到你的其他資產。同時也要定期檢查錢包地址的授權，不頻繁操作的項目要及時收回授權。
