HarvestFinance此次遭受闪电贷攻击主要是由于fToken在铸币时采用Curvey池中的报价，攻击者可以通过巨额兑换操控预言机价格来控制fToken的铸币数量，从而获利。
撰文：阿得
10月26日中午12时左右，DeFi热门项目HarvestFinance被曝遭黑客攻击。据推特网友发现，疑似有黑客借用闪电贷，使用20ETH从HarvestFinance中套现超400万美元。
消息扩散后，HarvestFinance项目的FARM代币价格在短时间内下跌近60%，同时HarvestFinance和Curve的锁仓量大幅减少。截至目前，Curve锁仓量为8.53亿美元，较昨天减少25.92%；HarvestFinance锁仓量为5.85亿美元，较昨天减少47.27%。
链闻对相关信息进行梳理，简析HarvestFinance本次安全事件的要点。
到底发生了什么？
据慢雾安全团队分析，HarvestFinance项目此次遭受闪电贷攻击主要是HarvestFinance的fToken(fUSDC、fUSDT...)在铸币时采用的是Curvey池中的报价(即使用Curve作为喂价来源)，导致攻击者可以通过巨额兑换操控预言机的价格来控制HarvestFinance中fToken的铸币数量，从而使攻击者有利可图。
马斯克：未来12个月推特不会从创作者的“打赏费”中分一杯羹:金色财经报道，马斯克今日在推特上发推文表示，鼓励内容创作者向粉丝提供订阅内容，内容可涵盖长文章至长视频等各个方面，且他们只需在设置中开启内容变现（Monetization）功能，便可收到“打赏”。他表示，在接下来的12个月里，推特将分文不收。内容创作者将获得推特所收到的所有金额的“打赏”，若用户使用iOS或Android系统，其收到的订阅费用为70%（平台收取30%），而若是使用网页平台，其收到的订阅费用为92%（这具体取决于“打赏者”使用的支付服务商）。而在第一年之后，iOS和Android系统收取的费用将降至15%，但推特将在此基础上增加少量费用，具体取决于“打赏金额”量。马斯克称，推特还将帮助推广创作者的内容。他们的目标是让创造者的热度最大化。并且在任何时候，创作者都可以选择离开推特平台，并带走他们创作的内容。[2023/4/14 14:02:43]
攻击者通过Tornado.cash转入20ETH作为后续攻击手续费；
攻击者通过UniswapV2闪电贷借出巨额USDC与USDT；
攻击者先通过Curve的exchange_underlying函数将USDT换成USDC，此时CurveyUSDC池中的investedUnderlyingBalance将相对应的变小；
MolochDAO推出基于零知识证明的“隐私池”加密混合服务:3月7日消息，为以太坊基础设施项目提供资金支持的去中心化自治组织MolochDAO推出基于零知识证明的“隐私池”加密混合服务，旨在保护链上交易时的隐私，同时还允许用户证明他们遵守当地法规。
据悉，MolochDAO的隐私池（Privacy Pools）将利用零知识证明这一隐私保护技术，使用户能够证明他们正在将受制裁的钱包列入黑名单，同时无需透露他们是谁，也无需披露全部交易历史。（The Defiant）[2023/3/7 12:46:33]
随后攻击者通过Harvest的deposit将巨额USDC充值进Vault中，充值的同时Harvest的Vault将铸出fUSDC。而铸出的数量计算方式如下：amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());计算方式中的underlyingBalanceWithInvestment一部分取的是Curve中的investedUnderlyingBalance值，由于Curve中investedUnderlyingBalance的变化将导致Vault铸出更多的fUSDC。
之后再通过Curve把USDC换成USDT将失衡的价格拉回正常；
最后只需要把fUSDC归还给Vault即可获得比充值时更多的USDC；
Arthur Hayes地址将137枚ETH跨链兑换成USDT，并向币安转移31.1万枚USDT:金色财经报道，PeckShield监测数据显示，标记为Arthur Hayes的地址从Arbitrum桥接137枚ETH，并将其兑换为超过22.36万枚USDT，并在过去5小时内向币安转移31.1万枚USDT。[2023/2/28 12:33:50]
随后攻击者开始重复此过程持续获利。
其他攻击流程与上诉分析过程类似参考交易哈希：0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877
安全事件发生后，HarvestFinance初步调查后更新推特表示：
就像其他套利经济攻击，本次攻击源于一笔巨额闪电贷。攻击者多次操纵一个资金池的价格，以耗尽另一个资金池里的资金，随后再将资金转换为renBTC并套现。
NEAR基金会：原生Stablecoin项目USN因抵押不足将被关闭:10月25日消息，NEAR基金会官方声明显示，DecentralBank(DCB)最近联系NEAR基金会告知USN（一种由DCB独立于NEAR基金会创建和推出的NEAR原生Stablecoin）已处于抵押不足状态，因为USN(v1)的初始算法版本自6月升级到v2后不再是算法版本，导致在极端市场条件下容易出现抵押不足的情况。鉴于上述问题，NEAR基金会建议DCB有序关闭USN。
据悉，NEAR基金会已拨出4000万美元用于USN保护计划赠款，旨在通过确保符合条件的USN持有者可以用USDT.e以1:1比例赎回USN。（near.org）[2022/10/25 16:37:39]
此外，HarvestFinance官方还表示：
此次攻击是通过Curvey池进行。为了保护用户，HarvestFinance已经将y池和BTCCurve策略资金存入Vault中。目前为止，所有稳定币和BTC资金都在Vault中。其他池不受影响。
BendDAO清算阈值将于明日调整为80%，拍卖周期仍为24小时:9月5日消息，NFT抵押借贷协议BendDAO发推称，根据BIP#10实施计划，北京时间9月6日20点清算阈值将调整为80%，并将启动新投票决定是否将清算阈值调整为75%。由于BIP#10-2未能获得投票通过，拍卖周期（24小时）不会调整。
据此前报道，BendDAO社区发布新提案BIP#10，旨在调整清算阈值和拍卖周期的实施计划。8月30日将清算阈值从90%调整为85%。当清算阈值达到80%（9月6日生效）时，将启动新投票决定是否将清算阈值调整为75%和70%。关于拍卖周期，48小时拍卖时间在8月30日改为24小时，后面两周投票再决定是否改为12小时和4小时。[2022/9/6 13:10:25]
HarvestFinance还通过与RenProtocol合作，并相关的10个BTC地址，希望币安、火币、OKEx和Coinbase等交易平台对其进行冻结。其进一步称：
除了持有被盗资金的BTC地址，我们现在还掌握了大量关于攻击者的个人身份信息。他在加密社区颇为有名。
后续影响
由于本次安全事件涉及的金额较大，且影响较广，再次引发市场对DeFi项目安全性的担忧。Cobo联合创始人神鱼在微博表示，理论上凡是Harvest上的稳定币和BTC挖CRV的单币都有这个风险，大家抓紧提现。
在市场恐慌蔓延的情况下，Debank数据显示，DeFi市场总锁仓价值从10月25日的149.98亿美元下降至今日138.90亿美元。在锁仓量排名前十的项目中，已有Harvest、Curve、YFI、Aave四个项目下跌比例超过10%。其中Harvest从11.19亿美元的锁仓量下跌至5.85亿美元。
锁仓量的大幅下降却带动了Uniswap等去中心化交易所的交易量。据Uniswap官网显示，Uniswap的交易量今日突现猛增态势，从昨天的1.48亿美元增长到21.1亿美元，24小时增长1267.91%。
TheBlock研究总监LarryCermak对此发推称，这其中约92％的交易量来自USDT/ETH交易对和USDC/ETH交易对。他们为Uniswap的LP产生了576万美元的费用。
据DeFi发烧友jiecut总结的数据显示，在本次安全事件中，黑客在链上的操作为部分平台带来了比较可观的收入。其中Uniswap的LP收入近600万美元；CurveLP大约可获得100万美元；ETHGas费达10万美元；RenVM的手续费为2万美元。
据官方消息，目前攻击者已通过USDT和USDC的形式退回开发者247.9万美元，这笔资金将通过快照按比例分配给资金受损的存款人。HarvestFinance持续发推希望黑客归还被盗资金，并悬赏10万美金奖励首位成功和攻击者取得联系并帮助返还用户资金的个人或团队。
安全端倪早已显现
在攻击发生前，DeFi分析师ChrisBlec揭露了HarvestFinance存在的巨大风险。其指出，HarvestFinance拥有一个管理密钥，可让持有者随意铸造代币并窃取用户的资金。正如该项目的审计公司PeckShield和Haechi所指出的那样，其治理参数不是由具有明确定义规则的合约来设置的。该管理密钥可能由该项目背后的匿名开发者持有。持有人可铸造无限数量的代币，并消耗代币的Uniswap池中的资金。
同时，ChrisBlec还表示，项目方或许有在试图向用户隐藏其审计报道。因为他发现：
Peckshield和HaechiLabs审计报告链接的URL都是不正确的，以及“
https://github.com…”之前的所有内容都应被删除。
而在ChrisBlec发现问题并试图联系HarvestFinance社区和开发者，以询问管理密钥的归属时，其还遭受到言语攻击，并被禁止加入HarvestFinance的Discord社区，在Twitter上被拉黑。
最新进展
在最新的推特中，官方表示将在接下来的16小时内发布事后报告，并针对未来的危机应对策略制定工作，包括评估保险方案以及赔偿策略。截止发稿前，Harvest代币FARM暂报101.35美元，24小时跌幅达56.7%。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。