天將降大任與斯人也，必先苦其心智，勞其筋骨，空乏其身，行弗亂其所爲。
bZx protocol作爲一個在2017年就開始開發的老項目，它曾經是跟COMP、CRV、LEND平級的DEFI巨頭。它的主營方向是借貸和槓桿交易，分別作爲兩款產品：fulcrum（存款）和torque（借貸+margin交易）。
今天就來分享一些關於這個項目的信息和感慨。
命運多舛的bZx
然而，雖然已經經過了多次的合約審計，區塊鏈這種黑暗森林裏容不下一顆沙子，每個漏洞都是一個向外廣播的放大器。
在今年以來的10個月內，bZx遭受了大致兩次大的攻擊，其中又包含多個小攻擊。
Attack 1
第一次攻擊出現在2020年2月13日和2020年2月15日，通過操作預言機價格套利，同樣的手法使用在了兩個不同的交易對上。
模式一，損失約62w美元：
交易鏈接
https://etherscan.io/tx/0xb5c8bd9430b6cc87a0e2fe110ece6bf527fa4f170a4bc8cd032f768fc5219838
1.從 dYdX 借了 10000 個 ETH
2.到 Compound 用 5500 ETH 借了 112 個 BTC 準備拋售
3.到 bZx 中用 1300 個 ETH 開 5 倍槓桿wBTC做空，換了 51.345576 個 BTC，而這裏換取的 BTC 是通過 Kyber Network 來獲取價格的，然而 Kyber Network 最終還是調用 Uniswap 來獲取價格，5 倍槓桿開完後兌換回來的 51 個 BTC 實際上是拉高了 UniSwap 中 BTC/ETH 的價格，換取價格是 1/109，但是實際上大盤的價格不會拉到這麼多
4.用從 Compound 借來的 112 個 BTC 來在 UniSwap 中賣掉，由於第三步中 bZx 中的 5 倍槓桿已經把價格拉高，所以這個時候出售 ETH 肯定是賺的，然後賣了 6871 個 ETH
5.歸還 dYdX 中的借貸
模式二，損失約64w美元：
交易鏈接
https://etherscan.io/tx/0x762881b07feb63c436dee38edd4ff1f7a74c33091e534af56c9f7d49b5ecac15
1.從bZx借了7500ETH
2.用Kyber兌換了900 ETH變成155,994 sUSD，目的在於打壓ETH/sUSD交易對價格。
3.利用Synthetix合約將3518 ETH變爲943,837sUSD（此時利用的是市場上正確的兌換利率268USD/ETH）
4.利用1,099,841 sUSD作爲抵押在bZx上借了6796 ETH(因爲bZx的外部接口利用了Kyber的價格，導致此時的兌換利率出錯，爲161.8USD/ETH)
5.將第四步借來的ETH+之前剩下的ETH共7500個還給bZx
這兩次的攻擊都有一個很明顯的共同點，就是在同一個區塊內利用閃貸大額交易，在bZx預言機所關聯的外部市場上操縱價格，然後以不公平的價格在另外一個市場上賣掉。
說實話，我認爲這個黑客的表演和警示性質大於盈利性質，因爲這個漏洞其實是屬於最高影響級，而且很難挽救，有可能直接導致項目破產。它兩次利用了兩個不同的手法，分別對bZx的兩個項目進行了攻擊，其實也就是在警示bZx要注意自己的漏洞。
在這個項目過後，bZx最終選擇了LINK Oracle作爲外部預言機接口，關於這個項目未來我們會再更深入的瞭解，但是其實市場上不存在絕對安全的方案，只能在攻擊代價和收益之間取一個平衡。
Attack 2
第二次攻擊出現在2020年9月13日，損失約4700ETH（800w美元），這次攻擊直接導致了bZx短期內的TVL（總鎖定價值）和幣價的暴跌。
這次的攻擊主要是由於智能合約漏洞造成的，在ERC20類代幣合約當中有一個TransformFrom()函數，主要負責代幣的傳輸和向不同地址的轉移。
但是bZx在調用這個函數的時候，沒有注意當調用者向自己地址轉移代幣時的變量關係，導致使用者可以自己更改代幣的數量，造成了損失。
這件事體現了中心化私鑰的用處，在問題出現之後首先關閉了放貸操作，然後對iToken的數量進行了重新設置，在更新了合約修復代碼後重新開啓了服務。
這種低級錯誤在審計的時候沒有審計出來，應該對審計機構進行處罰，同時在網絡上其實有其他的賞金獵人（專門尋找合約BUG獲取獎勵的人）已經提出了關於這個bug的問題，但是並沒有得到重視，還是希望各位開發者能更加註重安全問題。
bZx在這幾次被攻擊事件當中作出的反應其實只能說是一般般，這些攻擊也導致大家心中對bZx的安全程度有了疑問，不過作爲一個開發者，我深知一個產品的成型是需要一次次迭代的，失敗在所難免。
項目使用開發進度
之前聊了一些bZx被攻擊的歷史，但是其實作爲區塊鏈細分領域裏的龍頭，其實bZx並沒有被丟下很遠。
借貸有Compoud和AAVE在先，很難彎道超車，在鏈上也已經有越來越多的人蔘與到這個領域來了。
但是在Margin trading賽道還大有可爲，畢竟現在所有的DEX都基本上不支持槓桿交易，這種在CEX上非常普遍的功能在智能合約上實現起來其實頗有難度。
fulcrum和torque在8月底實現了Relaunch，雖然現在使用量並不是很大，但是TVL也有14M美元左右。bZx的兩款產品其實是相輔相成的，fulcrum槓桿所用的幣是從torque當中借的，清算也是可以放在一起的，兩款產品的手續費是集合到BZRX staking當中集中發放，相當於一個集團公司底下的兩個小公司。
從手續費上看，一筆Loan的起始手續費是0.09%，一筆交易的手續費是0.15%，借貸的利率另算，這個利率相比與Uniswap是略低，但是深度不知道能不能保證。
現在在平臺上交易或者是持有倉位還能獲得farming收益（鼓勵大家使用平臺交易），具體細則我還沒有看到，但是應該是收益挺高的。
BZRX的功能
這個項目有一堆眼花繚亂的代幣，有些代幣是通過質押出來的（iToken），還有在margin tarding當中產生的token（pToken），但是這些都跟項目沒什麼關係。
這個項目的本幣叫BZRX，BZRX可以在Staking界面進行stake操作，可以分享實時的手續費分紅，如果交易量大，還是挺客觀的。團隊爲了持有股份但又不願意控制所有投票權又創造出來了vBZRX，vBZRX全稱爲vest BZRX，代表那些存在，但是尚未被授權的BZRX，它的投票權重爲BZRX的一半。
staking網站：https://staking.bzx.network/
staking收益計算器：https://bzx.network/calc
結語
Defi市場其實想象力是非常大的，現實世界和區塊世界之間的界限感覺已經慢慢模糊，去中心化的各類企業和項目也許在未來會成爲市場的主流，每個人都是企業的一份子，企業也就進步的更快。
我相信這條賽道上容的下幾十家大企業，大家的競爭對手是現在已經存在的那些現實世界裏的金融機構和中心化的交易所，如果實現全透明+匿名的資金流轉，吸引力絕對爆表。
大廈將傾。