一名年仅22岁的加拿大黑客Andean Medjedovic，拥有纯数学硕士学位，却利用高超的编程与数学能力，先后攻击了Indexed Finance和KyberSwap两大DeFi协议，盗取了总计约6500万美元的加密资产。更令人震惊的是，他在塞尔维亚被捕后，竟在引渡程序进行中离奇逃脱，至今下落不明。
从数学天才到DeFi黑客
Medjedovic的第一起重大攻击发生在2021年10月，目标是被动指数管理协议Indexed Finance。他通过借入大量加密货币，巧妙操纵指数池的价格计算逻辑，从无辜投资者手中卷走1650万美元。一年后，他与一名身份不明的同谋合作，通过虚假交易所账户和加密货币混币器进行洗钱，试图掩盖资金流向。
然而，最惊世骇俗的袭击发生在2023年11月。Medjedovic瞄准了越南本土的去中心化交易所KyberSwap。美国检察官办公室指出：“Medjedovic计算出了精确的交易组合，导致KyberSwap自动做市商（AMM）出现‘故障’，从而盗取了数千万美元。”这次攻击共窃取了4880万美元。
嚣张的勒索与逃亡
攻击发生后仅数小时，黑客便通过链上消息公开喊话：“谈判将在几小时后开始，我需要充分休息。谢谢。”KyberSwap按照行业惯例提供了10%的漏洞赏金，但Medjedovic断然拒绝。他反而要求获得Kyber平台的完全控制权，并只愿意向投资者返还50%的被盗资金。这种近乎傲慢的姿态，让整个DeFi社区为之震惊。
荷兰警方通过追查IP和实地侦查，最终锁定了海牙一家酒店——Medjedovic曾使用一本伪造的斯洛伐克护照办理入住。但就在逮捕令发出的两周前，他已乘坐航班从阿姆斯特丹经伊斯坦布尔飞往科威特。此后，欧洲逮捕令和国际刑警红色通缉令相继发布。
法庭文件显示，Medjedovic用窃取的加密资产维持着奢靡的生活，足迹遍布巴西、迪拜、西班牙、波斯尼亚和塞尔维亚。2024年8月9日，他在贝尔格莱德以假名“Lorenzo”预订公寓时被塞尔维亚警方抓获。然而，在引渡听证会期间，他声称“不想去荷兰，想在塞尔维亚生孩子”，几天后便离奇失踪，至今下落不明。
行业影响与反思
这起案件对DeFi生态造成了深远影响。首先，它暴露了智能合约审计的严重漏洞——Arbitrum和Optimism等Layer2上的复杂AMM参数化设计仍存在被精准操纵的风险。其次，此类事件加剧了监管机构对去中心化金融的怀疑，可能推动更严厉的KYC/AML立法。此外，被盗资产至今仍沉睡于链上钱包，如果Medjedovic拒绝归还，他将面临超过10年的监禁。但更令市场担忧的是，一个22岁的数学硕士能轻易设计如此精密的攻击，说明DeFi领域的“白帽”与“黑帽”人才争夺战已进入白热化阶段。
FBI于2025年2月5日正式解封起诉书，并呼吁全球提供线索。目前，Medjedovic的名字已与“DeFi史上最大个人黑客”紧密相连。这起事件也再次敲响警钟：在追求资本效率的同时，安全始终是DeFi不可逾越的底线。