摘要：为您一文梳理Harvest黑客攻击事件的经过、影响，以及后续补救措施。
10月26日，黑客利用闪贷从DeFi协议HarvestFinance的金库中盗走了2400万美元资金，尽管攻击者事后归还了大约250万美元的资金，但Harvest用户面临的损失依旧超过了2000万美元。对此，Harvest团队发推称承认编程漏洞属于团队责任，称将按照快照将退还的部分资金返还给用户，剩余被盗资金的赔偿计划还在研究中。同时请求黑客退还资金。
攻击过程
整个攻击过程持续了7分钟，以下为慢雾安全团队对此攻击过程的简要分析。
加密金融知识平台Beurzbyte完成220万英镑Pre-seed轮融资:1月19日消息，加密金融知识平台 Beurzbyte 宣布完成 220 万英镑 pre-seed 轮融资，一批天使投资人参投。Beurzbyte 希望弥合华尔街与普通大众之间的「知识鸿沟」，其目标用户是刚刚进入金融市场的初级用户，除了加密货币交易工具基础知识之外，还提供股票、债券、收藏品等领域的金融知识服务。[2023/1/20 11:21:53]
1.攻击者通过Tornado.cash转入20ETH作为后续攻击手续费
2.攻击者通过UniswapV2闪电贷借出巨额USDC与USDT
3.攻击者先通过Curve的exchange_underlying函数将USDT换成USDC，此时CurveyUSDC池中的investedUnderlyingBalance将相对应的变小
STD盛大公链正式上线:据官方消息，Standard Chain主网将于时间2021年2月7日20点（GMT+8）上线。
据悉，STANDARD Chain是面向未来数字经济打造的区块链网络生态系统，STD主网币POW挖矿产出，总量2100万枚，STD作为生态体系的基础设施和连接器，为信任源的有效协同、为数据源的互联互通、为各类分布式应用服务提供完整的底层技术基础设施。[2021/2/7 19:09:46]
4.随后攻击者通过Harvest的deposit将巨额USDC充值进Vault中，充值的同时Harvest的Vault将铸出fUSDC，而铸出的数量计算方式如下：
amount.mul(totalSupply).div(underlyingBalanceWithInvestment);
公告 | 盛大公链发布STD瓦特宝保值声明:盛大公链项目方为所有参与瓦特宝STD 7天理财计划的用户（以下简称“用户”）以理财计划存入价值为基准，于STD 7天理财计划合约到期后的24小时内对用户释放的STD资产进行价值保障，若合约到期后的24小时内用户释放的STD资产低于存入价值则触发机制，由项目方对用户进行差额补偿。
以下附件截图为活动保障金[2020/2/22]
计算方式中的underlyingBalanceWithInvestment一部分取的是Curve中的investedUnderlyingBalance值，由于Curve中investedUnderlyingBalance的变化将导致Vault铸出更多的fUSDC
5.之后再通过Curve把USDC换成USDT将失衡的价格拉回正常
动态 | IFIC Tokyo在日本东京众议院第一议员会馆盛大揭幕:12月16日，亚洲最具影响力的金融科技系列峰会之一IFIC Tokyo在日本东京众议院第一议员会馆盛大揭幕。本届IFIC TOKYO由金融科技数字投行FINWEX、日本优质企业QE集团、国际化绿色数字金融项目TREELION联合主办，由CCTV网、金色财经、PANEWS、星空财经作为战略媒体支持。日本前环境大臣原田义昭、FINWEX创始人，IFIC执行委员会主席尤立、联合国前副秘书长兼环境规划署(UNEP)主任，TREELION基金会主席Erik Solheim、亿利资源集团董事长，库布齐沙漠治理的带头人王文彪、日本参议院议员，财务金融部会长，数字社会促进特别委员会副主席松下新平、QE集团董事长，FINWEX JAPAN 代表董事邱实等国际政要与行业领军人物为大会致开幕词。[2019/12/16]
6.最后只需要把fUSDC归还给Vault即可获得比充值时更多的USDC
7.随后攻击者开始重复此过程持续获利
事件影响
受此次安全事件影响，Harvest平台代币FARM币价暴跌50%，截至发稿达112美金。
同时，由于操作需求，此次安全事件也为数个DeFi平台带来了可观的交易手续费收入。
TheBlock研究总监LarryCermak对此发推称，这其中约92％的交易量来自USDT/ETH交易对和USDC/ETH交易对。他们为Uniswap的LP产生了576万美元的费用。
DeFi爱好者jiecut在推特上发表，受本次Harvest安全事件中，黑客在链上的操作为部分平台带来了比较可观的收入。其中Uniswap的流动性提供者收入近600万美元，平台交易量从1.48亿美元暴增到昨日的21.1亿美元；CurveLP大约可获得100万美元；ETHGas费达10万美元；RenVM的手续费为2万美元。
补救措施方案
10月27日，HarvestFinance发表文章公布了针对此次安全事件的补救措施。
HarvestFinance团队目前正在评估潜在的补救方案，并且将在接下来的版本中提现在新版本中的设计中，我们将在新金库中加入升级功能以及替代基于时间锁的投资策略，我们也会在新版本发布之前公布解决方案。
补救方法有以下几种可能:
1.实施存款承诺与披露机制。废除在单笔交易中执行存款与取款的功能，以此防止闪电贷攻击。从用户的角度来说，这意味着他们的代币将通过单一一笔交易被转入Harvest中。用户也需要在另一笔交易中取出其份额。这会导致用户体验发生变化，因为有可能用户需要支付更高、但仍能接受的Gas费。
2.加强对策略中的现有存款套利检查配置。当前的阈值为3%，但这不足以使金库免受攻击。一个更高的阈值能提高这类攻击的经济成本。但是也有可能导致在自然的无常损失影响下存款受限制。周日的事件只持续了7分钟，也就是说这种措施还没办法完全防止攻击，只能作为其他手段的补充。
3.基础资产提现。当用户把钱存入使用共享池的金库，他们的个人资产就被转为共享池中资产。如果用户只是提现基础资产，他们就可以根据当前的市场情况将其兑换为组合资产。如果市场被操纵，交易也会跟着被操纵，这就能使得攻击方无法获取利润。从一个普通用户的角度来看，提取yCRV之后，用户可以通过另一笔交易将其转换为稳定币。尽管用户体验会改变，但这也可以解决滑点的问题，因此对协议有利。这种方法的缺点是，它会将金库提现机制和当前正在使用的策略绑定起来：如果将策略切换到一个不使用共享基础池或使用不同池的其它策略，提现的币种也会改变。
4.使用预言机来决定资产价格。虽然外界预言机如ChainLink或者Maker可以决定资产价值的大概值，这个值和真实的价格还有一定的联系。如果DeFi项目内部的底层资产价格和预言机的报价出现差值，金库就又面临着投机和闪贷攻击。所以，这并不是Harvest的理想解决方案。但是，Harvest还是会考虑在系统设计和补救措施中使用预言机。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。