10月26日，黑客利用闪电贷从DeFi协议Harvest的金库中盗走了2400万美元资金，而根据Harvest官方的分析报告显示，闪电贷只是这次攻击的一环，具体还涉及到了DeFi协议的无常损失问题，尽管攻击者事后归还了大约250万美元的资金，但Harvest用户面临的损失依旧超过了2000万美元，对此，Harvest官方发出了悬赏，并请求黑客归还剩余的资金。
总结：
我们对这一工程错误负责，并确保此类事件在未来得到缓解；
为受影响的用户制定补救计划是我们在未来一周的首要任务；
我们谦卑地请求攻击者将资金退还给部署者，以便可以将它们分配给受影响的用户；
发生了什么？
UTC时间10月26日2:53:31，一名攻击者从HarvestFinance的USDC和USDT金库中窃取了资金。攻击者利用了影响Curve.fiY池中个人资产的套利和无常损失进行了攻击，而Curve.fiY池正是Harvest金库投资的地方。协议的以下机制允许执行此类攻击：
Harvest的投资策略计算投资于基础实时协议资产的实时价值。金库使用资产的价值来计算将要发给资金存放用户的股份数量。当用户从金库中取出资金时，它们还使用资产的价值来计算用户退出时应收到的支出。
一些金库中的资产存放在底层DeFi协议的共享池中。这些资产池中的资产会受到无常损失、套利和滑点等市场影响。因此，它们的价值可通过大量的市场交易来操纵。
以太坊开发工具平台 Hardhat 将以非营利方式运作:2月10日消息，以太坊开发工具平台 Hardhat 开发公司Nomic Labs计划转变为非营利组织，将更名为“Nomic基金会”。Hardhat目标筹集 3000 万美元，目前已获得1500 万美元赠款，以太坊基金会、以太坊联合创始人 Vitalik Buterin 以及 Coinbase、Consensys、Andreessen Horowitz、The Graph、Polygon、Chainlink、a_capital 和 Kaszek Ventures等加密投资或业务机构为捐赠者。
据悉，Nomic Labs 于2018 年推出。为实现其 3000 万美元筹款目标，该组织计划向几个去中心化自治组织 (DAO) 提交资金提案。 （Techcrunch）[2022/2/10 9:41:51]
攻击者反复利用Curve.fiY池中USDC和USDT的无常损失影响。他们利用被操纵的资产价值将资金存入Harvest的金库，以一个对其有益的价格获得金库股份，然后以正常的价格退出金库，从而产生利润。以下是这次攻击事件的跟踪链：
攻击者的钱包地址是0xf224ab004461540778a914ea397c589b677e27b，其部署了一个合约0xc6028a9fa486f52efd2b95b949ac630d287ce0af，通过该合约，他们于UTC时间2020年10月26日02:53:31执行了攻击。而进行攻击的10ETH是通过0x4b7b9e387a79289720a0226f695913d1d11dbdc681b7218a432136cc089363c4这笔Tornado交易来隐藏来源的。
BitMEX与研究和数据分析公司Kharon达成合作，加强客户尽职调查程序:官方消息，BitMEX宣布，与研究和数据分析公司Kharon达成合作，以加强客户尽职调查程序，并加强对OFAC批准的实体和其他相关方的筛选。
去年BitMEX及其高管被美国CFTC指控违反反规定。[2021/3/31 19:33:29]
攻击本身在0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877这笔交易中发起。
攻击者从Uniswap获得大量USDT以及USDC，以注入攻击合约中。
该合约通过Y池的互换交易将17,222,012.640506USDT兑换成了USDC。互换的影响是，由于其它资产发生了无常损失，Y池内的USDC价值较高。这个智能合约获得的金额大致相当于17,216,703.208672USDC；
攻击者将49,977,468.555526USDC存入Harvest的USDC金库，以每股0.97126080216USDC的价格接收51,456,280.788906fUSDC。在攻击之前，每股fUSDC的价格为0.980007USDC，因此攻击者将股份价值降低了大约1%。Harvest策略内部的套利检查没有超过3%的阈值，因此没有还原这笔交易。
攻击者通过Y池将17239234.653146USDC兑换回USDT，结果是，由于无常损失效应的恢复，因此在Y池中获得了USDC的原始较低值。攻击者从而收回了17,230,747.185604USDT。
新西兰商务委员会打击涉嫌的加密货币业务“Lion's Share计划”:1月19日消息，新西兰商务委员会正在打击Lion's Share计划，这是一种加密货币业务。委员会在一份声明中说，调查正在进行中。声明写道：“由于委员会认为Lion's Share计划很可能是，委员会建议任何已经参与Lion's Share计划的个人停止参与，并建议那些考虑加入狮子股份计划的人不要这样做。”该委员会宣布，已经向发起人之一Shelly Cullen发出了一封“立即停止”的信，后者正在网上亲自推荐。收到这封信后，Cullen告诉委员会，她已经停止推广这一计划。[2021/1/19 16:30:05]
攻击者从Harvest的USDC金库中提币，用所有fUSDC的股份交换回了50596877.367825USDC。由于Y池内的USDC值下降，每股fUSDC的价格为0.98329837664USDC。USDC完全由Harvest的USDC金库支付，完全不与Y池交互。如此进行一次，攻击者的净利润就是619408.812299USDC，而攻击者在同一笔交易中重复了几次该过程。
在4分钟内针对USDC金库执行了17笔攻击交易后，攻击者以类似的方式对USDT金库重复该过程，从交易0x0fc6d2ca064fc841bc9b1c1fad1fbb97bcea5c9a1b2b66ef837f1227e06519a6开始。他们在另外3分钟内完成了13笔针对USDT金库的攻击交易。
声音 | Harmony联合创始人：IEO对于新加密项目筹集资金至关重要:据AMBCrypto消息， Harmony Protocol联合创始人Nick White最近阐明了IEO的整个场景，并指出IEO既可以是“黑盒”，也可以是“金鹅”。White表示，IEO背后的概念是相当大的，这是ICO的演变，从为加密项目和努力筹集资金方面来说，这是非常重要的。但White承认，“这不是一个完美的系统。”他指出，在这种情况下，一定程度的集中化是必要的，因为IEO显著地集中在交易所周围。[2019/6/9]
在UTC时间2020年10月26日03:01:48，攻击者将13,000,000USDC和11,000,000USDT从攻击合约中转移至地址0x3811765a53c3188c24d412daec3f60faad5f119b。
攻击者随后又在0x25119cd54a4562aa427d9770af383512f9cb5e8e4d17232ad96b69dc293a3510这笔交易中将部分资金转移回Harvest部署者地址，涉及1761898.396474USDC和718,914.048541USDT。
HarvestFinance在评估了这次攻击并重构攻击过程后，立即从共享池中取出了所有资金，这包括DAI、USDC、USDT、TUSD、WBTC以及renBTC。这些资金目前都在金库中，不再受到市场操纵的影响。这次攻击并没有涉及DAI、TUSD、WBTC以及renBTC，这些金库的存储用户也没有受到影响。
声音 | Harry Zhou：法院认定Bitfinex 和Tether有超过 50% 的可能从事了“证券欺诈”:针对纽约州地方法院驳回了 Bitfinex 和 Tether 的抗议，有条件地批准了纽约总检察长调取 Bitfinex 和 Tether 的商业信息一事，美国OTC交易平台Koi Trading首席合规官Harry Zhou指出：
值得注意的是总检察长使用的法律是华尔街从业人员闻之色变的 Martin Act。
从微观看，法院的命令对 Bitfinex 和 Tether 极为不利。首先，基于目前的证据，法院已认定 Bitfinex 和 Tether 有超过 50% 的可能从事了“证券欺诈”。其次，NYAG 使用宽泛而且有可怕后果的 Martin Act ，而不是更有针对性的纽约金融服务调查 Bitfinex / Tether,? 并且提及了一揽子控诉（“证券欺诈”，“挪用资金”，“非法提供投资产品”等），表明了 NYAG 似乎是要用一切能用的手段对 Bitfinex 执法。因此，Bitfinex 目前似乎已没有了“悄悄和谈”的选项。NYAG 已经下定决心要一问到底。被监管咬住不放可以说是最坏的结果。
从宏观上看，美国联邦和州的监管似乎已经达成了一个共识，要通过打击 Tether 来有效率地一次性打击所有依赖 Tether 的离岸交易所。
据悉，“Martin Act”（纽约商业法第23-A条，第352-353条）是纽约反欺诈法，被广泛认为是美国最严厉的蓝天法。授予纽约总检察长广泛的执法权力，以进行*证券欺诈*调查，并对涉嫌违反该法案的行为提起民事或刑事诉讼。[2019/5/19]
攻击发生后，USDC金库的股份价格从0.980007下跌至0.834953USDC，而USDT金库的股份价格则从0.978874跌至0.844812USDT，两者分别下跌了13.8%和13.7%。用户损失的价值大约为3380万美元，相当于攻击前协议中锁定总价值的3.2%。
与攻击有关的事务日志可观察攻击者的地址0xf224ab004461540778a914ea397c589b677e27b。
下一步
HarvestFinance协议有一个定期的每周计划表，它需要保持所有农民的持续收益。根据2020年10月27日的排放计划，HarvestFinance团队宣布铸造19637.46枚FARM代币。而社区要求的，原定于10月27日发布的智能合约改进计划将被推迟，以便在攻击背景下再次评估其安全性。金库中使用共享池的资金，将继续从策略中提取，直到此类攻击的缓解措施到位。这些措施，以及为受影响的用户提供补救的基础设施，将是团队下一个开发重点。我们对这一工程错误负责，并确保此类事件在未来得到缓解。
未来可能的缓解措施
HarvestFinance团队致力于评估可能的缓解策略，并在即将发布的版本中实施这些策略以及任何必要的用户体验更改。我们将利用新金库的可升级特性，以及基于时间锁的投资策略替换，并在发布前很好地与社区沟通缓解策略。
可能的修复技术包括以下这些选项：
实现存款的提交和显示机制。这将消除在单笔交易中执行存款和取款的能力，因此，基于闪电贷的攻击就变为不可行了。就用户而言，这意味着在存款期间，他们的代币将在一次交易中转移到Harvest。用户随后会在另一笔交易中claim他们的股份，最好是在不同的区块中。这将构成用户体验的变化，并可能导致更高，但仍可接受的gas成本。
一个更严格的配置现有存款arb的检查策略。当前的阈值设置为3%，因此不足以保护金库免受此类攻击。一个更严格的阈值可能使这种攻击在经济上不可行，然而，在自然无常损失效应的情况下，它可能会限制存款，周日的事件超过了7分钟，这表明，这一措施不够有效，因此应被视为对其他措施的补充。
基础资产的提取。当用户存入使用共享池的金库时，他们会有效地将其单个资产交换为池资产。如果用户只提取基础资产，他们就可以根据当前的市场状况将其交易为资产组合。如果市场受到操纵，交易也会受到这种操纵，这将阻止攻击实体产生利润。从普通用户的角度来看，提出yCRV之后可以在单独的交易中转换为稳定币。虽然这需要进行UX方面的改变，但它可能有利于协议。而这种方法的缺点是，它将金库提取机制与当前正在使用的策略绑定在一起：如果一个策略切换到另一个不使用共享基础池的策略，或者使用不同的池，则提取所产生的资产也会发生变化。
使用预言机来确定资产价格。虽然一个近似的资产价格可有效地从外部预言机中确定，但是它与实际股份价格的联系非常松散。如果底层DeFi协议内的资产价值与预言机报价不同，金库将面临自由套利和闪电贷攻击。这不是Harvest的解决方案，但是，在系统设计和可能的缓解策略中，我们将考虑使用预言机。
针对丢失USDC和USDT资金用户的补救方法
通过快照和MerkleDistributor分发攻击者已退还的资金，我们与帮助创建这些工具的开发人员联系，并致力于构建可为受影响的用户提供补救措施的基础架构。分配资金是当务之急，一旦工具被构建出来后，我们将会发布更多关于资金分发的细节信息。
其他补救方法将在治理中进行分析和表决。
攻击者信息和赏金
攻击者使用了新生成的以太坊地址0xf224ab004461540778a914ea397c589b677e27bb来执行这次攻击；
Tornado交易0x4b7b9e387a79289720a0226f695913d1d11dbdc681b7218a432136cc089363c4；
攻击在0x35F8D2F572FCEAAC9288E5D46211780EF2694786992A8C3F6D02612277B0877这笔交易发起；
攻击者通过REN协议将比特币传输到以下地址：
1Paykw4s2WX4SaVjDrQkwSiJr16AiANhiM
1HLG86DDEzAxAGmEzxr1SUfPCWcnWA6bMm
14stnrgMFNR4LesqQRUdo5n1VUx9xdAMeg
18w2Bm2cCsbLjWQU9BcnjzK8ErmzozrVa3
1FS2t2eAjmjaNmADN6SMHYo7G4XGpX1osS
1NdAJ89k1qpRMpZLwuYGQ7VnM45xD2NJXa
1CLHhshrusvT4XADWA29R2H4ndsSUamEWn
然后，攻击者将几笔交易发送到已知的Binance存款地址：https://blockstream.info/tx/7777569f003193ae59dbc5afbbf8bfbf3ac6c8ce8a8ec2b8707de14ddc3329a6https://blockstream.info/tx/9fcc273f2d50fc5824b8fd0bbe832831d02e7fe04bcc09d143e787455c602195
我们向第一个帮助我们找回资金的个人或团队提供10万美元的赏金。
如果是在接下来的36小时内完成退还，则赏金为40万美元。请不要在这个过程中人肉搜索攻击者，我们强烈建议将所有努力集中在确保用户资金成功返还给部署人员上。
关有关闪电贷攻击者的信息：
攻击者已经证明了他们的观点。如果他们能将资金返还给用户，社会各界将不胜感激，将资金返还给受影响的用户是重点。
我们犯了一个工程错误，我们承认了。成千上万的人遭到了附带损害，因此我们谦卑地请求攻击者将资金退还给部署者，然后将资金全部分配给用户。
本文链接：https://www.8btc.com/article/661801
转载请注明文章出处
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。