一文了解Harvest Finance $2400万被盗事件经过及补救方案

摘要：为您一文梳理Harvest黑客攻击事件的经过、影响，以及后续补救措施。

10月26日，黑客利用闪贷从DeFi协议HarvestFinance的金库中盗走了2400万美元资金，尽管攻击者事后归还了大约250万美元的资金，但Harvest用户面临的损失依旧超过了2000万美元。对此，Harvest团队发推称承认编程漏洞属于团队责任，称将按照快照将退还的部分资金返还给用户，剩余被盗资金的赔偿计划还在研究中。同时请求黑客退还资金。

攻击过程

整个攻击过程持续了7分钟，以下为慢雾安全团队对此攻击过程的简要分析。

Messari：Venus上的BNB借贷量在6月10日降至2021年1月以来新低:金色财经报道，Messari发布2023年第二季度BNB链上借贷协议Venus报告。Venus经历连续第四个季度的利息收入增长，为DAO带来230万美元的收益，为储户带来920万美元的收益。在美国证券交易委员会对多个币安实体提出指控后，BNB的价格下跌了32%，影响了Venus的资产总价值，导致总供应量环比下降了12%。Venus继续推出其V4功能，包括隔离池和弹性价格馈送，以增强平台的安全性、灵活性和可靠性。

Venus协议第二季度的用户活动有所下降，活跃借款人和存款人数量环比分别下降9%和10%。此外，6月10日，BNB 借贷跌至 2021 年 1 月以来的最低水平，仅有89140枚BNB借贷。

截至本季度末，仍有价值6.47亿美元的流动资金可供借贷，其中BTC和BNB合计占该价值的76%。[2023/7/15 10:55:59]

1.攻击者通过Tornado.cash转入20ETH作为后续攻击手续费

ApeCoin管理层高薪引发社区不满，Yat Siu澄清“与其他 Web3 中型公司水平一致”:金色财经报道，一名声称是ApeCoin DAO秘书的匿名用户“Vulkan”在社交媒体发布了该去中心化自治组织的结构图和DAO管理层薪水信息，其中显示ApeCoin DAO每月向其领导层支付资金高达约7.5万美元。据悉，ApeCoin DAO特别委员会成员BoredApe G、Vera和Gerry三人根据AIP-1条款每人每月领取高达20,833美元的薪水，引发社区抨击和不满。

为此，Animoca Brands联合创始人兼执行董事长，同时也是ApeCoin特别委员会成员之一的Yat Siu在社交媒体发文澄清，ApeCoin DAO管理层的薪酬与其他Web3中型公司管理层水平一致，将普通劳动者的薪水与ApeCoin这样价值数十亿美元的DAO管理层薪水相似乎有点不公平。[2023/6/13 21:34:25]

2.攻击者通过UniswapV2闪电贷借出巨额USDC与USDT

数据：过去3个月BTC长持者仍积累约50万枚BTC:10月18日消息，Bitfinex Alpha的研究显示，持续的通胀正给全球市场带来压力。上周，美国核心CPI公布，同比上涨6.6%，处于40年高位。与此同时，债券市场期权波动率指数(Bond Market Option Volatiability Index)已超过2020年闪电暴跌期间的水平，表明债券市场压力日益加大。另一方面，有迹象表明加密行业正日益成熟。Tether近期公开，目前该公司的储备中已无任何商业票据。此外，BTC的长期持有者仍在逢低买入，在过去3个月里积累了约50万枚BTC。[2022/10/18 17:30:38]

3.攻击者先通过Curve的exchange_underlying函数将USDT换成USDC，此时CurveyUSDC池中的investedUnderlyingBalance将相对应的变小

百度智能云将推出数字人直播平台:7月18日消息，在7月21日百度世界2022大会上，百度智能云将推出数字人直播平台，可实现超写实数字人24小时纯AI直播，支持随意切换妆发、服装、场景。据介绍，相比真人主播，数字人直播可降低人、时间、空间的限制，无需真人主播、中控人员、复杂硬件的支持，为商家降低30%以上的直播成本。（鞭牛士）[2022/7/18 2:20:37]

4.随后攻击者通过Harvest的deposit将巨额USDC充值进Vault中，充值的同时Harvest的Vault将铸出fUSDC，而铸出的数量计算方式如下：

amount.mul(totalSupply).div(underlyingBalanceWithInvestment);

计算方式中的underlyingBalanceWithInvestment一部分取的是Curve中的investedUnderlyingBalance值，由于Curve中investedUnderlyingBalance的变化将导致Vault铸出更多的fUSDC

5.之后再通过Curve把USDC换成USDT将失衡的价格拉回正常

6.最后只需要把fUSDC归还给Vault即可获得比充值时更多的USDC

7.随后攻击者开始重复此过程持续获利

事件影响

受此次安全事件影响，Harvest平台代币FARM币价暴跌50%，截至发稿达112美金。

同时，由于操作需求，此次安全事件也为数个DeFi平台带来了可观的交易手续费收入。

TheBlock研究总监LarryCermak对此发推称，这其中约92％的交易量来自USDT/ETH交易对和USDC/ETH交易对。他们为Uniswap的LP产生了576万美元的费用。

DeFi爱好者jiecut在推特上发表，受本次Harvest安全事件中，黑客在链上的操作为部分平台带来了比较可观的收入。其中Uniswap的流动性提供者收入近600万美元，平台交易量从1.48亿美元暴增到昨日的21.1亿美元；CurveLP大约可获得100万美元；ETHGas费达10万美元；RenVM的手续费为2万美元。

补救措施方案

10月27日，HarvestFinance发表文章公布了针对此次安全事件的补救措施。

HarvestFinance团队目前正在评估潜在的补救方案，并且将在接下来的版本中提现在新版本中的设计中，我们将在新金库中加入升级功能以及替代基于时间锁的投资策略，我们也会在新版本发布之前公布解决方案。

补救方法有以下几种可能:

1.实施存款承诺与披露机制。废除在单笔交易中执行存款与取款的功能，以此防止闪电贷攻击。从用户的角度来说，这意味着他们的代币将通过单一一笔交易被转入Harvest中。用户也需要在另一笔交易中取出其份额。这会导致用户体验发生变化，因为有可能用户需要支付更高、但仍能接受的Gas费。

2.加强对策略中的现有存款套利检查配置。当前的阈值为3%，但这不足以使金库免受攻击。一个更高的阈值能提高这类攻击的经济成本。但是也有可能导致在自然的无常损失影响下存款受限制。周日的事件只持续了7分钟，也就是说这种措施还没办法完全防止攻击，只能作为其他手段的补充。

3.基础资产提现。当用户把钱存入使用共享池的金库，他们的个人资产就被转为共享池中资产。如果用户只是提现基础资产，他们就可以根据当前的市场情况将其兑换为组合资产。如果市场被操纵，交易也会跟着被操纵，这就能使得攻击方无法获取利润。从一个普通用户的角度来看，提取yCRV之后，用户可以通过另一笔交易将其转换为稳定币。尽管用户体验会改变，但这也可以解决滑点的问题，因此对协议有利。这种方法的缺点是，它会将金库提现机制和当前正在使用的策略绑定起来：如果将策略切换到一个不使用共享基础池或使用不同池的其它策略，提现的币种也会改变。

4.使用预言机来决定资产价格。虽然外界预言机如ChainLink或者Maker可以决定资产价值的大概值，这个值和真实的价格还有一定的联系。如果DeFi项目内部的底层资产价格和预言机的报价出现差值，金库就又面临着投机和闪贷攻击。所以，这并不是Harvest的理想解决方案。但是，Harvest还是会考虑在系统设计和补救措施中使用预言机。

标签：USDUSDCSDCUSD币USD价格USDC币USDC价格SDC价格SDC币

DAI热门资讯