Defi平台Eular遭駭近2億美元、11個DeFi協議受影響！今年最大加密駭客事件怎麼發生的？|數位時代 BusinessNext

Defi平台Eular遭駭近2億美元、11個DeFi協議受影響！今年最大加密駭客事件怎麼發生的？

Defi借貸平台Eular，在短時間被駭客偷走約2億美元、影響超過11個DeFi協議，是今年規模最大的加密貨幣駭客攻擊事件，怎麼發生的？

##### 今年最大駭客攻擊事件，損失近2億美元

近來金融業一波未平一波又起，除了一周內有三家美國銀行接連倒下，13日又傳出另一起Web3金融世界危機，去中心化金融（DeFi）平台「Euler Finance」遭閃電貸攻擊（Flash Loan Attack），影響超過11個相關DeFi協議（合約）。

閃電貸（Flash Loan）： 是去中心化金融世界中一種新型的無擔保貸款，特色是不用抵押品、借貸迅速即時、透過智慧合約就能完成。

這是2023年迄今，規模最大的加密貨幣駭客攻擊事件。

讓Euler損失近1.97億美元，其中包括逾880萬枚穩定幣DAI、849枚包裝比特幣WBTC、3,400萬枚完全抵押型美元穩定幣USDC，以及8.5萬枚質押以太幣stETH等等。

對此Euler Finance在第一時間表示，正與資安人員、執法部門合作，目標是讓受到影響的客戶能要求退款，金庫剩餘資金足以發放退款，而該平台原生代幣EUL，在事件發生後一小時內暴跌超過50％，從新台幣190元縮水到90元左右。

Euler Finance合作稽核機構Omniscia，隨即在24小時內發表一份技術分析報告，指出遭駭客利用的漏洞，源自Euler並未對接受捐贈（donations）的帳號執行安全檢查。

駭客是如何攻擊Euler？目前哪些合約受到影響？稽核（Auditing）公司又有哪些？一次看懂。

📍邀請您加入Web3+ Line社群，持續關注最重要的網路變革
👉 https://lin.ee/kItnyTh

Euler Finance為何被駭客盯上？

一般來說DeFi借貸協議，以提供比特幣及以太幣為主，並未提供非主流加密貨幣的借貸服務，然而借貸小眾加密資產的需求仍存在，特別是套空、快沖套現山寨幣的借貸者。

Euler Finance看準這些需求，凡能在去中心化交易所（DEX）Uniswap V3版本的智慧合約上，與以太坊代幣標準技術ERC-20，所打造的代幣WETH相兌的任何山寨幣，都能接受借貸服務。

延伸閱讀： 交易所、去中心化交易所是什麼？

但如果山寨幣價格劇烈波動、清算未能完全償還借款人債務，也會在不同類型的資產池留下壞帳，Euler根據風險高低來劃分「資產層」保護其協議及使用者。

不過， 當其中一個協議出現漏洞，就容易成為駭客的牟利工具，閃電貸事件一出，外界紛紛把矛頭指向與Euler合作的區塊鏈安全稽核公司，值得注意的是，與Euler合作的稽核公司高達6家，卻沒人發現會損失上億美元的漏洞，問題出在哪裡？

##### 漏洞程式碼，就是遭駭導火線！

此次事件源自「eIP-14」協議的漏洞程式碼，eIP-14在2022年7月導入Euler生態系，簡而言之，就是協議上資產代幣程式碼化（tokenisation），接口EToken的其中一項函數「donateToReserves」的邏輯錯誤遭利用。

駭客調用Euler合約的儲備金庫捐贈資金的不同幣種，來建立無擔保的代幣債款項，接著清算這些帳號，並從清算獎金中獲利。

根據加密智庫Arkham Intelligence調查發現， 攻擊者使用超過20種合約地址，用來獲取來自Euler的各種加密貨幣 ，駭客還為每一種資產精心部署了兩個合約：「借貸合約」使用捐贈功能來推翻Euler的邏輯；「清算合約」隨後清理殘留物。

詳細的攻擊概念認證，可參照新加坡Web3資安及網路威脅防範公司Numen Cyber Technology釋出的GitHub「SmartContractHack_PoC」。

##### 如何咎責？

目前，受到影響的DeFi協議，有號稱「以太坊VPN」的Layer2隱私合約Aztec Network，無法控制與Euler的集成，導致部分使用者無法提取資金。

Layer 2： 又被稱為鏈下擴容，主要功能是提升區塊鏈的擴展性、每秒交易數量，解決 Layer 1擴展問題，編寫智慧合約也算是在 Layer 2的範圍，代表案例是區塊鏈平台Polygon。

固定利率借貸協議Yield Protocol，則因應攻擊事件關閉主網借貸相關服務的操作，畢竟該協議主網流動性池（LIQUIDITY POOL）立基於Euler之上，隨著Euler暫停主網合約運作，Yield下架App並在官網使用者介面中關閉借貸入口。

流動性挖礦的基礎設施Balancer也受到影響，其中有約1,190萬美元的金額，從bbeUSD流動性池中被發送給Euler，但官方採取了保護剩餘資金的措施，目前不存在資金進一步損失的風險。

其他包括瑞士智慧投顧SwissBorg、DeFi協議Idle DAO、去中心化穩定幣協議Angle Protocol、DeFi收益整合器Yearn、去中心化期權協議Opyn、維運美元穩定幣DOLA的Inverse Finance等等皆受到影響並採取相應措施。

這起事件究竟誰該負責？本次被盜事件的程式碼，來自Euler於2022年7月引入的新合約eIP-14，包括以色列區塊鏈安全公司Certora、邁阿密區塊鏈安全公司Halborn、知名區塊鏈資安公司Solidified和ZK Labs、去中心化智慧合約稽核團隊Omniscia，以及全方位資安公司Pen Test Partners，皆在eIP-14導入前進行稽核，或該項目不在稽核範圍內，因此不用承擔疏失。

其中問題最大，就出在智慧合約保險服務與稽核平台SHERLOCK，負責Opyn、Euler、Lyra、Tempus、LiquiFi和Hook等知名Web3客戶，提供總計1,000萬美元的區塊鏈漏洞保險與獎勵賞金。

據悉，SHERLOCK曾三度稽查Euler，第一次於2021年12月由稽核員克里斯米歇爾（Chris Michel）完成，其次2022年1月由稽核員shw9453更新，最後一次稽查由WatchPug於2022年7月完成的。

克里斯米歇爾在eIP-14的程式碼中發現7處問題，取得100萬美元的漏洞賞金， 但並無發現此次事件導火線「EToken:donateToReserves」。

此次疏失，讓該漏洞在鏈上保留8個月，直到現在被駭客利用，SHERLOCK表示願意承擔責任，並協助Euler提供450萬美元賠償計劃，24小時內已經支付330萬美元賠償金，不過與損失2億美元相比少了許多。

Euler則聯繫了區塊鏈分析及資安公司TRM Labs、Chainalysis等，還有其他廣大的以太坊資訊安全社群，以協助他們調查並討回資金；同時嘗試聯繫負責此次攻擊事件的駭客，以盡可能透過談判手段追回部分被盜資金。

此次事件，凸顯目前DeFi稽核流程的侷限性，包括稽核方的人為失誤、範圍不明確以導入新機制的稽核，皆可能再度導致另一起Euler被駭案，擊沉Web3投資人的信心。

📍邀請您加入Web3+ Line社群，持續關注最重要的網路變革
👉 https://lin.ee/kItnyTh

資料來源：Cointelegraph、Decrypt、Omniscia

核稿編輯：高敬原

以 AI 賦能核保，審查時間省六成

開始一張保單的旅程，核保是第一步，攸關保戶是否能儘速取得保障。投保過程中，若涉及既有病史或體況，核保便須介入評估，綜合審視商品條款、投保規則與法律規範，以決定是否承保，可說是一項高度專業的決策工程。

「以一份新契約為例，客戶的病歷資料可能厚達百頁。核保員得逐頁翻找診斷紀錄、用藥史與手術紀錄，判斷其對承保的影響。但大多數核保人員並不具備醫護背景，這方面的專業判斷力全靠長期經驗積累，導致傳統作業十分耗時。」蔡佳蓉解釋。

為此，富邦人壽建構「核保智能助理」，運用生成式 AI 摘要病歷，解決過往判讀大量專業英文病歷的痛點。這可不是把資料丟進 AI 資料庫就好——蔡佳蓉分享，導入過程中的挑戰之一，是為特種個資去識別化，需先透過個資遮罩工具處理病歷；此外，針對 AI 常見的「幻覺」風險，團隊也反覆調校提示詞，讓摘要報告力求精準正確。

她強調， AI 定位為「初篩與重點整理」的助手，最終決策權仍歸於核保員。透過 AI 摘要、核保員決策的人機協作模式，體況審查平均作業時間成功從 40 分鐘縮短至 15 分鐘，核保效率提升六成，讓核保同仁能將心力集中於高風險案件與例外處理。

以 AI 輔助判讀，加速理賠條款今昔對照

同樣面對大量資料判讀挑戰的，還有理賠。理賠是保險公司實踐承諾、展現服務價值的重要時刻，但隨著醫療技術不斷進步，許多保單條款當年訂定的手術項目，到了今天可能已發展出全新的治療方式。理賠人員需要從大量醫療資料中，判斷新技術是否符合條款約定，過程相當耗時，也需要高度的醫療專業知識。

對此，富邦人壽導入「理賠智能助理」，整合醫療資訊與內部顧問醫師的專業意見，協助理賠人員快速比對保單條款與客戶所接受治療的對應關係。例如，當醫療科技演進產生新的手術方式時，AI 可協助理賠人員快速了解該疾病與手術的進行方式，並檢索相關條款與內部規則，提供理賠判斷建議，縮短過去需逐一查找資料的時間。此外，系統亦能協助摘錄擷取診斷書、病理報告及醫療費用單據等理賠文件審核重點，大幅縮短人工判讀比對時間，讓理賠人員更專注於專業判斷與保戶溝通，加速理賠服務效率與一致性。

客戶服務處處主管張婉茹指出：「AI 除了加速理賠作業，也能將資深理賠人員的專業經驗與判斷邏輯濃縮為高效吸收的知識庫，協助新進同仁快速掌握案件重點與判斷依據，縮短學習曲線，並提升理賠判斷的一致性與品質。」透過 AI 助理減輕資料整理的負擔，理賠人員得以將精力回歸專業決策與客戶溝通。

以 AI 客服加速分流，前線服務更到位

在核保與理賠之外，最大量的服務場景是客服。張婉茹表示，隨著數位原生世代逐漸成為保戶主力，客戶傾向先自主操作解決問題，不會直接撥打電話；一旦選擇撥打電話，就代表問題已超出自助服務能處理的範圍。

對此，AI 客服的導入，不只是回答問題，更是協助客戶找到最適合服務管道的「智慧導航員」。「我們是第一線面對客戶，因此 AI 客服最重要的不是回答得多，而是回答得正確。」張婉茹表示，富邦人壽在設計上特別重視回答來源的可信度，透過既有知識庫與 FAQ 資料治理機制，讓 AI 優先扮演「理解需求、引導服務」的角色，確保保戶獲得正確且一致的資訊。

事實上，富邦人壽的文字客服早於大型語言模型盛行前便已上線，目前文字客服平均每月處理超過六萬則訊息，智能助理能即時理解客戶需求，將保單查詢、資料變更等簡易服務導引至 App 或線上平台快速完成；面對理賠、保單變更或保障內容等較複雜的需求，則由真人客服接手提供專業協助。讓簡單問題快速解決、複雜問題由專人服務，將有限的人力資源投入最需要專業與溫度的服務情境，讓分流機制發揮實際成效。

從核保員手中的病歷、理賠人員桌上的單據，到線上客服的迅速回應，富邦人壽的 AI 布局，始終緊貼第一線作業現場。張婉茹表示，科技發展不一定要一次 end to end 全到位，應該是不停小步快跑，慢慢把應用場景擴大。去年底推出的全新富邦人壽 App，將「簡單、貼心、隨行」的理念落實在使用者介面體驗上，就是一次階段性集大成的成果。

但無論 AI 如何加速資料判讀、優化流程，專業判斷與服務溫度仍是機器無法取代的核心。「要有專業，才能判斷 AI 的產出品質。」富邦人壽兩位主管也強調，科技迅速發展下，富邦人壽導入 AI，不是要取代核保員、理賠人員或客服人員，而是希望讓每一位同仁把時間花在最有價值的地方。當AI承接了流程中繁瑣的資料負荷，人員就能更專注在判斷、溝通與服務，讓同仁的專業與心力回歸到最需要判斷力與人情味的溝通之上，這才是真正以客戶為中心的 AI 轉型。也是富邦人壽實現「AI Everywhere」的旅途上不忘的目標。