Mixin Network 因云数据库遭入侵损失2亿美元——用户被告知承担一半

2023年9月23日凌晨，攻击者入侵了Mixin Network云服务提供商的数据库，盗走了约2亿美元的主网资产。Mixin——一个号称拥有百万用户、约10亿美元托管资产并支持48条区块链的跨链转账网络——暂停了所有充值和提现，并请来了谷歌和安全公司SlowMist。

其应对方式映射出了公司的真实结构。一条链上消息向窃贼提供了2000万美元的赏金以归还赃款，创始人冯晓东在一场中文直播中告诉用户，Mixin将弥补最多50%的被盗资金，其余部分将转换为公司承诺日后回购的债券代币。批评者指出其中的讽刺之处：“去中心化”基础设施竟因单一云数据库而失效。

此次入侵正值2023年第三方加密资产安全事件最糟糕的一段时期：几天前，Elliptic将CoinEx 5400万美元被盗案归咎于朝鲜的Lazarus Group，而Mixin是一周内第三家通过供应商被攻破的加密公司，此前还有OpenSea和Nansen。Mixin的资产负债表无法像大型交易所那样吸收相当于其资本五分之一规模的损失——因此其中一半被转移到用户的账本上，变成了纸面欠条。

约2亿美元的用户加密资产——约占该公司资本的20%；充值和提现被冻结；用户被告知一半资金将获偿还，另一半以IOU形式偿还

将托管置于单一云服务提供商的数据库之后，恰恰重建了去中心化协议本应消除的那个中心点。

对2亿美元赃款悬赏2000万美元，等于承认公司无法通过技术手段追回资金，只能寄望于窃贼愿意谈判。

50%的偿还承诺加上债券代币，将一次运营失败转化为用户承担的债务，同时让公司得以存活。

同月OpenSea、Nansen和CoinEx的供应商入侵事件表明，第三方基础设施是攻击面的一部分，而非置身其外。

一个协议可以自称去中心化，而用户的资金却存放在单一云数据库之后。当托管是中心化的，损失就会落在索赔权最弱的一方身上——通常是用户。

在Mixin修复漏洞期间，充值和提现一直处于暂停状态，创始人的直播和链上赏金消息成为公司对外公开的账目说明。50%偿还加债券代币的方案，将用户缺失的那一半资金记在了他们自己的账本上，直到Mixin能够回购这些IOU。此次入侵为第三方加密基础设施画上了一个残酷季度的句号：OpenSea和Nansen通过供应商被攻破，CoinEx在一次被Elliptic归咎于Lazarus的袭击中被盗走5400万美元，而在Mixin倒下之前的104天里，五起黑客事件共盗走近2.4亿美元。