十月初，Anchain上举办了最新的区块链调查大赛，比赛持续两周时间，许多玩家期间深入了解到以太坊区块链交易和智能合约数据。除了许多免费提供的工具外，Anchain还为参与者提供了CISO区块链分析平台的免费许可，让区块链分析变得更加容易。
在本次大赛决赛圈中，BlockThreat.net威胁分析师PeterKacherginsky重点关注了前期DeFi行业内引发热议的“寿司”Sushiswap创始人Nomi大厨退出局及其在2020年9月归还资金事件。实际上，该事件也是本次大赛最困难的一个挑战，本文会提及一些本次区块链调查大赛时所使用的分析工具、技术、以及经验教训，并且分享调查Nomi大厨退出局及其在2020年9月归还资金事件的相关步骤。
下面就一起来揭开这一事件的真相吧：
2020年9月5日，“寿司”Sushiswap创建者Nomi大厨从协议中兑现了大约1,400万美元资金，但之后又在2020年9月11日归还了这笔钱。我们使用Anchain的CISO工具可以查询到涉及相关交易的账户情况。如果调查上述交易就会发现，Nomi大厨在0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd和0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76两个地址之间转移了38.000枚ETH。
上图展示了AnchainCISO追踪?2020年9月11日Nomi大厨转移38,000枚ETH的相关交易。
2020年9月11日，Nomi大厨在道歉推文中提供了确切的交易哈希，并暗示所有取出的ETH都已经退回到“寿司”Sushiswap库存账户：?
让我找出这个“0xf942db”开头的这个地址：0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd。Etherscan将该地址标记为——SushiSwap：Deployer，其实从早期交易历史来看，这个地址从2020年8月26日开始就部署了Sushiswap：SUSHITOKEN合约：?
事实上，Nomi大厨是唯一有能力部署这个合约的人，因此我们可以肯定这个“0xf942db”开头的地址与Nomi大厨有直接联系。另一个“0xf73b31”开头的地址更加有趣，因为这个地址其实在2020年9月3日与“0xf942db”开头地址部署的同一个多重签名钱包：
2022年DeFi保险总计支付3440万美元索赔:金色财经报道，据 OpenCover 统计数据显示，DeFi 保险赛道在 2022 年支付了创纪录的 3440 万美元索赔，超过历史支出的 90%，但只有 0.5% 的 DeFi 市场价值被投保。其中 DeFi 保险提供商的总流动性达到 186000 枚 ETH（约 2.86 亿美元），在过去九个月中这一数字在 2.1 亿美元至 3.94 亿美元之间徘徊，Nexus Mutual 以 80% 左右的份额主导市场。[2023/3/21 13:17:45]
上图是多重签名合约部署，资料来源：Etherscan。
现在是不是觉得很有趣？！是的，Nomi大厨将38,000枚ETH从一个已知的以太坊个人账户转移到他们自己最初创建的多重签名钱包里。多重签名合约的优点就在于能够查到钱包所有者信息。所以，我们可以使用Etherscan的便捷合约读取功能来查询该钱包的所有者：?
我们使用多重签名getOwners()输出函数即可，如上图所示，资料来源：Etherscan。
从上面截图显示的结果可以看出，其中并没有Nomi大厨“0xf942db”开头的地址。不过Nomi大厨此前曾进行了一项交易，将钱包所有权从“0xf942db”开头的地址更改为了0xd57581d9e42e9032e6f60422fa619b4a4574ba79。在记录这方面，我们不得不佩服Etherscan，该平台又为我们提供了详细的交易事件日志：?
上图是多重签名钱包的所有权变更交易，资料来源：Etherscan。
那么问题来了，“0xD57581”开头的地址所有者是谁的？如果我们在社交媒体Twitter上搜索这个地址，会发现Nomi大厨的Twitter账户@Nomichef曾与加密货币衍生品交易所FTXExchange首席执行官@SBF_Alameda在Twitter上发生过一次“有趣”的交流：?
基于上述交流记录，我们知道FTX首席执行官@SBF_Alameda同意接管“寿司”Sushiswap项目，并在其官方Twitter账户上发布了自己的以太坊钱包地址作为所有权证明。存款之后，@SBF_Alameda使用“0xD57581”开头的地址继续向他刚在Uniswap上购买的多重签名合约存入557万枚SUSHI代币：?
多链钱包 XDEFI 已支持 Avalanche 网络:4月5日消息，多链钱包 XDEFI 宣布已支持 Avalanche 网络，用户可使用该钱包管理和存储 AVAX 和所有 Avalanche 本地代币和 NFTs。
据悉，XDEFI 是一款内置 DEX/Bridge 聚合器的多链钱包，目前已支持以太坊、Polygon、BSC、Terra、THORChain、比特币、莱特币、比特币现金等网络资产。[2022/4/5 14:05:06]
上图是通过AnchainCISO查询到@SBF_Alameda将556万枚SUSHI代币存入到多重签名地址。此后不久，@SBF_Alameda继续提取了38,000枚ETH作为补偿，交易记录如下：?
由此可以看出，“0xf73b31”开头的地址在整个“寿司”Sushiswap生态系统中起着非常重要的作用，但并不清楚为什么这些交易都要选择这个地址。为了挖出这个问题的答案，让我们再来看看奖励系统如何在Sushiswap上运作。
最早在Medium上宣布推出“寿司”Sushiswap项目的文章现在已经删除，从存档网页中我们发现Nomi大厨提到了Sushiswap有一个项目可持续/开发基金：?
如果我们查看该项目的源代码，在MasterChef.sol中可以发现执行奖励的逻辑，下图是从GitHub上存储的开发基金SUSHI代币奖励的源代码：?
开发基金的地址信息存储在变量“devaddr”中，并在初始化时在智能合约构造函数中定义，下图是GitHub上存储的开发基金地址初始化源代码：?
根据Medium的历史文章显示，MasterChef合约部署在0xc2EdaD668740f1aA35E4D8f227fB8E17dcA888Cd上。下面让我们看一下Etherscan，通过第一笔交易可以了解合约部署时是如何设置的：
不幸的是，输入数据很难解密，但是我们可以再输入数据地步找到构造函数初始化数据，如下图深色区域所示：?
每个构造函数变量的大学均为“uint256”，可以轻松被拆分成单个参数：?
上图是构造函数参数。
简单地说，这些参数都与源代码相匹配，因此我们可以获得devaddr的参数，结果会发现这个地址已经被明确地设置为Nomi大厨的地址，下图是GitHub上的Masterchef.sol构造函数变量：
新加坡开放式金融服务平台 Cake DeFi 推出质押服务:6月8日消息，新加坡 Cake DeFi 公司宣布推出中文官网和质押服务，中文社区的用户可通过 Cake DeFi 中文平台使用权益质押服务等功能。用户可在 Cake DeFi 平台进行权益质押 (PoS Staking)，以递飞链的货币 DFI 和达世币 Dash 为主。
据悉，Cake DeFi 提供递飞链的链上质押服务，无需用户设立自己的主节点就可获得奖励。递飞链项目是个专为比特币生态提供开放式金融所打造的原生区块链。[2021/6/8 23:22:02]
基于上述分析，我们发现“0xf942db”开头的地址可以收集到10%所有铸造的SUSHI代币，而Nomi大厨与2020年9月5日把该地址中的SUSHI代币兑换成了ETH。但是，如果查看变量当前的状态，我们将会找到一个完全不同的地址，如下图红框所圈出的：?
该地址对应于Nomi大厨返还的38,000ETH的那个多重签名钱包，也就是说，“0xf73b31”开头的这个地址实际上就是Sushiswap的一个新的金库账户，用于收集Nomi大厨在Twitter帖子中所提及的10%代币奖励，而且只有一个函数可以更新协定中的devaddr变量，如下图所示：?
我们可以通过扫描Bloxy.info提供的函数调用活动来快速找到对该函数的调用，下图就是Bloxy的智能合约函数调用查询结果：?
从下图中可以看出，dev函数只进行过一次函数调用，就是Nomi大厨于2020年9月5日执行的，就在他在Uniswap上倾销SUSHI代币之前的几分钟：?
Nomi大厨调用了“0xf73b31”开头地址上新的devaddr参数，该参数定义了新的库存账户或开发基金账户。
至此，我们可以把所有事件的时间表梳理清楚，并形成一个更为完整的报告，从最初创建“寿司”Sushiswap项目一直到2020年9月11日交易及其他相关事件：
SushiSwap调查报告
1、@Nomichef是一位匿名开发人员，他/她于2020年8月26日创建了SushiSwapDeFi合约；
2、该合约包含了一个由@Nomichef控制的开发人员帐户，此帐户收集了10％所有铸造的SUSHI代币。
3、2020年9月5日，@Nomichef从开发者账户中提取了价值约1400万美元的SUSHI代币，并在Uniswap上将这些代币兑换成了38011ETH。
Asproex（阿波罗）将于9月2日正式上线DeFi热门币种FAME:据官方消息，Asproex（阿波罗）将于2020年9月2日正式上线FAME，并开通FAME/USDT交易对。具体时间如下：开放充提时间：9月2日14：00(UTC+8)，开放交易时间：9月2日16：00(UTC+8)。未来，Asproex（阿波罗）将会持续加大DeFi布局，全力参与DeFi生态建设，引入更多优质DeFi项目，为用户提供更多产品选择。
FAME是一个构建于UFC底层去中心化金融的明星项目，旨在构建公平的去中心化金融系统，为全球用户提供稳定币借贷服务及治理机制。据悉，持有FAME的用户可参与社区公平治理，并在公平制度下支付CDP借款的稳定费。
Asproex（阿波罗）作为首家离岸银行控股持牌交易平台，也是一家涵盖CTO企业通证上市的交易平台，持有5国牌照，为全球中小微企业提供融资难的解决方案，助力数字化上市。[2020/9/1]
4、@Nomichef还设置了新的多重签名合约作为新的开发人员帐户，以再次收集SUSHI代币奖励。
5、在社区强烈抗议之后，@Nomichef将38,000ETH转移到先前创建的多重签名合约中，该合约现在由加密衍生品交易所FTXExchange首席执行官@SBF_Alameda控制。
6、@SBF_Alameda依次存入557万枚SUSHI代币，并撤回@Nomichef的ETH作为补偿。
7、在进行本次分析时，该多重签名的开发人员帐户是最大的DeFi“巨鲸”帐户之一，价值约90亿美元。
区块链分析
以下区块链分析图是使用AnchainCISO生成的，用于记录与本案例有关的以太坊区块链上的交易.
ETH交易：
SUSHI交易：
事件时间轴
涉及本时间的相关地址信息
1、x6b3595068778dd592e39a122f4f5a5cf09c90fe2—SushiToken合约
2、0xc2EdaD668740f1aA35E4D8f227fB8E17dcA888Cd—SushiSwap:MasterChefLP抵押池，同时也持有Sushiswap上最大的流动性头寸。
3、0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd—@NomiChef账户/SushiSwap:Deployer/Devshare账户。
动态 | DeFi项目锁仓达15亿美元，Edgeware近一周增长超5倍:据DAppTotal.com DeFi专题页面数据显示：截至目前，已统计的23个DeFi项目共计锁仓资金达15亿美元，其中EOSREX锁仓6.58亿美元，占比43.99%，排名第一位；Maker锁仓4.43亿美元，占比29.64%，排名第二位；排名第三位的是Edgeware，锁仓2.3亿美元，占比15.41%；Compound，Dharma、Bancor、Augur等其他DeFi类应用共占比10.96%。过去一周，整体而言：1、增速相对较快的DeFi项目有Edgeware、Nuo、Compound等；2、Edgeware一个基于Polkadot的高并发智能合约平台，目前锁仓85.6万个ETH，近一周增长超5倍；3、受市场行情回暖的影响，DeFi项目总锁仓资金环比增加30.48%。[2019/6/17]
4、0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76—合约:MultiSigWalletWithDailyLimit/NewDevshare账户。
5、0x80c5e6908368cb9db503ba968d7ec5a565bfb389—Zapper.FiUniswap
6、0xCE84867c3c02B05Dc570D0135103d3fb9cC19433—UniswapV2
7、0xD57581D9e42E9032e6f60422fA619b4A4574Ba79—@SBF_Alameda—FTXCEO
阶段零：设置
1、2020–08–2612:28:07UTC—@Nomichef部署了SUSHI代币合约。https://etherscan.io/tx/0x5489c98aa634078471646e32a3a846c8d413f055ce10d06bd2260f4e71d1bc63
2、2020–08–2601:00:51UTC—@Nomichef部署了MasterChefLP抵押池，同时构造函数显式设置为devaddr?f942dba4159cb61f8ad88ca4a83f5204e8f4a6bd：
https://etherscan.io/tx/0x3d68b0d8a94838af33070b8f00558e723f073b23772bd1760f1f4032e21e0fb3
3、2020–09–0301:16:40UTC—@Nomichef部署了多重签名钱包0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76。
https://etherscan.io/tx/0x58b4873325c662a043b51f5c479a9cab263f7a4ce80517a0109a753d7ee7700f
阶段一：退出
1、UTC2020–09–0509:20:10UTC—@Nomichef向Zapper.FiUniswap合约发起交易：
在此交易中，使用502.49万枚SUSHI代币在UniswapV2和Zapper.Fi平台上开放SUSHI-WETH流动性对，交易量为3886枚WETH。
https://etherscan.io/tx/0xc97cac6a9457f73febfd93ca90dd4dfbe128ad1658c3e48d01ad3d92d3efd07e
2、2020–09–0509:33:19UTC—@Nomichef将devshare帐户地址从0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd更改为多重签名钱包0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76：
https://etherscan.io/tx/0xe7e811bdc697b6ba7794a3ec795797a6c88181116196256b98695f17d987ea11
3、2020–09–0511:57:05UTC—SUSHI-WETH?交易对已清算38011枚ETH，资金被转回给@Nomichef
https://etherscan.io/tx/0x419a835b33eb03481e56a5f964c1c31017ab196cb7bb4390228cabcf50dfd6f1
阶段二：返还
1、2020–09–0606:29:00UTC—@Nomichef达成协议将资金返还给多签名钱包并将控制权转移到@SBF_Alameda：
https://twitter.com/sbf_alameda/status/1302501004118695936
2、2020–09–0607:32:34UTC—多签名钱包所有者从@Nomichef替换为@SBF_Alameda。
https://etherscan.io/tx/0xe4fcf8aa90cc42355e2998561759f906ba5bbb50f2aeea161ebd167e3acc5609
3、2020–09–1103:25UTC—@Nomichef将38,000枚ETH转移回SUSHI多签名钱包。
https://etherscan.io/tx/0xa5179a870734faadbb7abe2cc2030436a870f9bda1f869b3f986d65cbfbe57b8
4、2020–09–1103:31:00PMUTC?—@Nomichef致歉，并公开表示已将38,000ETH转移至“寿司”Sushiswap库存多重签名帐户。
https://twitter.com/NomiChef/status/1304442495342796800
阶段三：报偿
1、2020年9月15日上午01:13:46UTC—@SBF_Alameda开始从Bittrex和另一个未知交易所累积39699.94枚ETH。
https://etherscan.io/tx/0xcefbd6a9b03522d87915f75ed94c10ed2c87a8456a436ca3f323bf46473bce60
https://etherscan.io/tx/0x6db4e66cba8566721e10015c1aa3db0738e4ac373e817aebf7cf3dba3a1cf377
https://etherscan.io/tx/0x47bfcb08961f1a80dc58e48cc22e34eda0712f3a8cff76eb4be9583a456dcd3d
https://etherscan.io/tx/0xd2c2f5c070eeb3d1ebbe9897f5047ffc74ca9183ef94c826a36b0b0616d65936
2、2020年9月15日上午02:06UTC—@SBF_Alameda完成了将ETH与Uniswap上的SUSHI代币的兑换。从下面链接中可以查到最后一笔兑换交易：
https://etherscan.io/tx/0xc901dea31fcc59a68fbbd9133f775836f3d59a2f0f6423835d949a215f099666
3、2020年9月15日上午02:15:46UTC—557万枚SUSHI代币从@SBF_Alameda控制的地址转移到多重签名钱包
https://etherscan.io/tx/0x8ff45efc77e5d81714f5a2e0a839c216112c2af6242041ef2d46cdf2fe8678f0
https://etherscan.io/tx/0x968de6f3f80b2af08d1c520d20d9c94019152cbac838aabf6c632da02ee0229f
4、2020年9月15日上午4:42UTC?—?将38,000枚ETH从多签名钱包转移到@SBF_Alameda。
https://etherscan.io/tx/0x7ef94acf19eaff3517e0675db1d6694b7567e79090cb1192f20ad0ee7892078d
https://etherscan.io/tx/0x7d3ab2ea9a4578f9ff08b90a73ec3d262cc6f3a6fc39bf6bd1e7c20e39c1eeb1
https://etherscan.io/tx/0xcbd16d06238b136390b1d914c3defddf378de59bf15906833d8fc25ccbc2f951
5、2020年9月15日上午5:50UTC—3920,000枚ETH通过多笔交易从@SBF_Alameda转移到0x9f9643c8b413b32c3a1270068487f341e5be8bfd。下面链接是这些交易中的一个示例：
https://etherscan.io/tx/0xd2f19e24961802ff29792e978844691f67e9c37173539cf86d204b68a9e91885
6、2020年9月15日上午06:10:03UTC—1,000,000枚SUSHI代币从多重签名财务帐户转移到@SBF_Alameda。
https://etherscan.io/tx/0xe5a08db5e46cff54ac0bc15e5c307bc68daba03c1edd17e7cb4b4044d79ac435
原文作者：PeterKacherginsky
译者|Moni
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。