저자 | 친샤오펑
에디터 | 하오 팡저우
제작 | 오데일리
에디터 | 하오 팡저우
공고에 따르면, 공격으로 인해 총 3,380만 달러(이전에는 400만 달러로 보고됨)의 손실이 발생했으며 이는 공격 전 계약에 잠긴 총 가치의 약 3.2%에 해당합니다. , Harvest Finance는 예금에 대한 "커밋-공개" 메커니즘을 구현하고, 플래시 대출 공격을 줄이고, 오라클 시스템을 사용하여 자산 가격을 결정하고, 예금 arb 구성을 늘립니다(현재 임계값은 3%로 설정됨).
제작 | 오데일리
오늘 아침 DeFi 집계 프로토콜 Harvest Finance는 어제의 플래시 대출 공격에 대한 대응 성명을 발표했습니다.
어제 오전 10시 트위터 사용자는 공격자가 20 ETH의 비용(처리 수수료)에 의존하여 Curve 프로토콜 y 풀의 비영구적 손실을 플래시 론을 통해 차익 거래했으며 Curve.fi Y 풀은 Harvest가 있는 곳이라는 소식을 전했습니다. 재무부가 투자합니다. 이후 공격자는 자금을 renBTC로 전환해 현금화했고, 그 결과 Harvest는 수백만 달러를 잃었고, 많은 참여자들은 자금의 15~20% 이상을 잃었다고 주장했다.
이에 영향을 받아 하베스트 파이낸스의 거버넌스 토큰인 FARM 가격은 237달러에서 78달러로 최대 70% 가까이 폭락했고, 오늘 보도자료를 기준으로 FARM 가격은 110달러 안팎까지 올랐다. 60%의 가장 큰 하락인 4억 5천만 달러로 떨어졌습니다.
그러나 Curve 프로토콜은 영향을 받지 않았으며 거버넌스 토큰 CRV의 가격은 지난 24시간 동안 지속적으로 상승했으며 한때 0.44 USDT까지 상승했으며 최대 30% 가까이 상승했습니다.
보조 제목
(1) 이벤트 리뷰: Flash Loan Arbitrage
Harvest Finance는 자체 유동성 공급자를 위한 수입을 얻기 위해 다른 DeFi 풀에 유동성을 제공하는 것이 주요 기능인 DeFi 수입 수집기입니다. 공격 전에 Harvest Finance는 주로 Curve 프로토콜과 풀에 유동성을 제공했습니다.
공격자는 어떻게 공격을 깨닫고 차익 거래를 완료했습니까?
먼저 이 공격의 논리를 간단히 설명드리자면, 간단히 말해서 "차용 - 긍정적인 가격 조작 - 역 가격 조작"의 세 단계가 있습니다.공격자는 플래시론을 통해 USDT와 USDC를 대량으로 빌려주었습니다.
Y 풀에서 많은 양의 USDT가 USDC로 전환되어 USDC의 가격 상승, Harvest 풀의 USDC 가격이 Y 풀을 참조하므로 가격도 상승, 이때 USDC 사용 Harvest 풀에서 더 많은 fUSDC를 교환하기 위해
Y pool에서는 위의 과정을 역으로 하여 많은 양의 USDC가 USDT로 전환되어 USDC의 가격이 하락하는데 이때
Harvest 풀의 USDC 가격도 하락합니다. fUSDC는 차익 거래를 완료하기 위해 이전보다 더 많은 USDC와 교환하는 데 사용할 수 있습니다.
물론 매우 짧은 시간 안에 체인 상의 트랜잭션이 이루어지도록 하기 위해 각 트랜잭션은 완전히 청구됩니다.
Harvest Finance 발표는 전체 공격 체인을 설명합니다."후속 공격 수수료로 이더리움 익명 송금 플랫폼인 Tornado.cash를 통해 20 ETH를 송금하였으며, 공격자의 지갑 주소는 0xf224ab004461540778a914ea397c589b677e27b, 공격 컨트랙트 0xc6028a9fa486f52efd2b95b949ac630d287ce0af를 배포하였다."Uniswap V2 플래시론을 통해 엄청난 양의 USDT(18,308,555.417594)와 USDC(5,000만)를 빌려 공격 계약에 주입합니다.(참고: 플래시 론은 차입 및 상환이 필요합니다.
거래
그렇지 않으면 대출 자금이 인출되고 공격자는
이 여백을 틈타 차익거래가 성사되는데, 플래시론 차익거래도 현재 비교적 보편적인 방법이다. )
계약은 Curve 프로토콜 Y 풀의 스왑 계약을 통해 17222012.640506 USDT를 USDC로 변환합니다. 스왑의 영향은 다른 자산의 비영구적 손실로 인해 Y 풀의 USDC 가치가 상승하여 17216703.208672 USDC를 획득하게 되는데 이때 공격자는 이전 플래시론의 원금을 추가하고 공격자는 약 6,721만 USDT 보유
공격자는 49,977,468.555526 USDC를 Harvest의 USDC 금고에 예치하고 51,456,280.788906 USDC를 단가 fUSDC/USDC=0.97126080216으로 교환했습니다. 공격 전 단가는 0.980007이었으며 현재 단가는 0.9712로 전월 대비 약 1% 하락하여 Harvest 차익거래 전략에서 설정한 3% 레드 라인이 발동되지 않아 거래가 이루어졌습니다. 유효하고 성공적이며 강제로 복구되지 않았습니다.
공격자는 남은 17239234.653146 USDC를 y 풀을 통해 다시 17,230,747.185604 USDT로 교환했는데, 비영구적 손실 효과의 회복으로 이때 Y 풀의 USDC 가치가 하락했고 공격자는 17,230,747.185604 USDT를 획득했습니다.
공격자는 Harvest의 USDC 금고에서 코인을 인출함 이때 Y 풀의 USDC 가치가 하락했기 때문에 fUSDC/USDC의 단가는 0.98329837664로 상승 공격자는 fUSDC의 모든 이전 주식(약 5145만)을 50596877.367825 USDC. 또한 USDC는 Harvest의 USDC 금고에서 완전히 지불되며 Y 풀과 전혀 상호 작용하지 않으므로 Y 풀의 USDC 가격에 영향을 미치지 않습니다.
이러한 차익 거래 후 공격자의 순이익(플래시 론의 대출 수수료 제외)은 619408.812299 USDC입니다. 그런 다음 공격자는 동일한 트랜잭션에서 프로세스를 여러 번 반복했습니다.
4분 이내에 공격자는 USDC 볼트에 대해 17개의 공격 트랜잭션을 실행한 후 유사한 방법을 사용하여 USDT 볼트를 공격하고 3분 이내에 13개의 공격 트랜잭션을 완료했습니다.
베이징 시간 10월 26일 11:01:48에 공격자는 공격 계약에서 13,000,000 USDC와 11,000,000 USDT를 0x3811765a53c3188c24d412daec3f60faad5f119b 주소로 전송했습니다.공격 후 많은 사람들이 Harvest 트위터에 자금의 15~20%를 잃었다고 언급했습니다. 많은 KOL은 또한 사용자가 자금의 안전을 보장하기 위해 먼저 Harvest에서 자금을 인출할 것을 권장합니다.
Harvest 통계에 따르면 사용자 손실은 낙관적이지 않습니다. USDC 재무부의 단가는 0.980007에서 0.834953으로 떨어졌고 USDT 재무부의 단가는 0.978874에서 0.844812로 각각 13.8%와 13.7% 감소했습니다.
손실된 총 가치는 약 3,380만 달러 또는 공격 이전에 프로토콜에 잠긴 총 가치의 약 3.2%였습니다.
보조 제목
(2) 공식적 태도: 개선 외에 공격자는 돈을 갚을 수 있음
사고 이후 Harvest 팀은 사용자 보호를 위해 스테이블 코인 및 BTC 금고에 대한 입금을 방지하는 조치를 취했으며 기존 입금은 계속해서 FARM을 적립할 것이라는 내용의 문서를 발행했습니다.
오늘 아침 발표에 따르면 Harvest는 DAI, USDC, USDT, TUSD, WBTC 및 renBTC를 포함한 공유 풀에서 모든 자금을 인출했습니다. 이러한 자금은 현재 금고에 보관되어 있으며 더 이상의 시장 조작 대상이 아닙니다. 또한 DAI, TUSD, WBTC 및 renBTC는 이 공격에 관여하지 않았으며 이러한 금고의 예금자는 영향을 받지 않았습니다.
또한 사용자 보상과 관련하여 Harvest는 공격자가 반환한 미화 247만 달러 이상을 영향을 받는 예금자에게 스냅샷을 통해 비례적으로 분배하고 기타 구제 수단을 분석하여 거버넌스에서 투표할 것이라고 밝혔습니다.
이번 사고는 하베스트 시스템 메커니즘의 단점도 드러냈다.
SlowMist 보안 팀의 분석에 따르면 이번 공격의 주요 원인은 fToken(fUSDC, fUSDT 등)이 코인을 발행할 때 Curve y 풀의 시세를 사용했기 때문에 공격자가 조작하여 fToken 발행량을 제어하게 된 것입니다. 거대한 거래소를 통한 오라클의 가격.
인용을 위해 Harvest의 다음 단계는 오라클을 사용하여 자산 가격을 결정하는 것입니다.
"대략적인 자산 가격은 외부 오라클(Chainlink 또는 Maker에서 제공)에서 효과적으로 결정할 수 있지만 실제 가격과 매우 느슨하게 연결되어 있습니다. 기본 DeFi 프로토콜 내의 자산 가치가 오라클 시세와 다른 경우 볼트는 무료 차익 거래 및 플래시 대출 공격에 직면 이것은 Harvest 솔루션이 아니지만 시스템 설계 및 가능한 완화 전략에서 오라클 사용을 고려할 것입니다.”또한 향후 Harvest Finance는 예금에 대한 "제출-공개" 메커니즘을 구현하여 플래시 론 공격을 줄이고 예금 arb 구성을 늘릴 것입니다(현재 임계값은 3%로 설정됨). 또한 원래 10월 27일로 예정된 Harvest Finance의 스마트 계약 개선 계획도 공격의 맥락에서 보안을 재평가할 수 있도록 연기됩니다.
공격자에 대해 하베스트 파이낸스는 사건과 관련된 주소를 공개하고 "도난당한 자금을 보유한 BTC 주소 외에도 공격자에 대한 개인 식별 정보를 대량으로 입수했으며, 암호화 커뮤니티에서 잘 알려져 있습니다."
그러나 Harvest Finance는 공격자를 쫓을 의도가 없는 것으로 보입니다.
신원 정보.
"우리는 공격자의 개인 정보 노출에 관심이 없으며, 귀하가 사용자에게 돈을 돌려주는 한 귀하의 기술과 독창성을 존중합니다. 공격자는 자신의 요점을 입증했습니다. 그들이 돈을 사용자에게 돌려줄 수 있다면 매우 커뮤니티의 모든 부문에서 감사하게 생각하며 영향을 받은 사용자에게 자금을 반환하는 것이 초점입니다."
자금 회수에 도움을 준 첫 번째 개인 또는 팀에게 $100,000의 포상금을 제공합니다.
36시간 이내에 반환하면 현상금은 $400,000입니다. 이 과정에서 공격자를 독살하지 마십시오. 사용자 자금이 배포자에게 성공적으로 반환되도록 모든 노력을 집중할 것을 강력히 권장합니다.
공격자가 RenBTC를 통해 수익을 창출하고 있기 때문입니다. 보도 시간 현재 Harvest Finance는 RenProtocol과의 협력을 통해 관련 RenBTC 출금 주소를 획득했으며 RenProtocol을 통해 내보낸 BTC 주소를 공식적으로 발표했으며 현재 Binance, Huobi, OKEx, Coinbase 관련 주소를 동결합니다.
보조 제목
(3) 부정적인 여론에 깊이 관여하는 하베스트 파이낸스
공격자에 대한 Harvest Finance의 태도가 상대적으로 "모호"하기 때문에 많은 목소리가 공식이 절도를 방지한다고 믿고 "도둑 그만둬"라고 외치는 도둑의 큰 드라마를 연출했습니다.
Crypto KOL @Bitcoin 질문:
사실 사용자의 원금을 직접 가져가는 것보다 더 이득이 되는 것은 없습니다.FARM의 총 시장 가치는 2,500만이며, 프로젝트 당사자 코인의 20%입니다.모든 코인이 소진되더라도 5백만을 벌게 됩니다. 수천만의 이익. 이 문제에 대한 프로젝트 당사자의 처리 계획과 결합하면 프로젝트 당사자가 그들에게서 훔칠 확률이 실제로 높다고 생각하므로 그들은 이 구덩이를 채우기 위해 번 돈을 사용하지 않을 것입니다.
해커는 위험을 무릅쓰고 수천만 달러만 훔쳤지만 수억 달러의 풀을 직접 소모하지는 않았으며 분명히 그들은 프로젝트가 중단되는 것을 원하지 않았으며 이는 팀의 이익과 일치했습니다.
일부 투자자들은 트위터를 통해 팀 코인의 일부를 피해자들에게 보상할 수 있는지 문의했고, 하베스트는 자금 규모가 너무 커서 감당할 수 없다고 답했다. 사실 돈을 내느냐 안 내느냐와 그들이 감당할 수 있느냐는 별개의 문제라는 것을 모두가 알고 있습니다.Chris Blec투자자들에 따르면 커뮤니티의 투자자들은 차익 거래되는 fusd의 순 가치가 지속적으로 하락하고 있다고 보고했지만 팀은 한 달 이상 이 상황을 눈감고 "해커"가 차익 거래를 할 수 있도록 허용했습니다.
CoinTelegraph하베스트 파이낸스가 여론의 위기에 처한 것은 이번이 처음이 아니다.이것은 위험을 드러냅니다. 프로젝트 계약에 잠겨 있는 10억 달러 이상의 자금이 익명의 개발자에 의해 완전히 통제되고 있으며 개발 팀은 이 사실을 고의로 은폐한 것으로 의심됩니다.
통화 인쇄보안 팀 해치의 감사 보고서를 인용하여 보고서는 다음과 같이 말했습니다.Harvest Finance에는 소유자가 토큰을 발행하고 사용자의 자금을 마음대로 훔칠 수 있는 관리 키가 있으며, 프로젝트 배후의 익명 개발자가 보유할 수 있습니다.
통화 인쇄
판 지비아오
그는 Harvest가 통화 인쇄 DeFi 재무 관리에 진입하지 않은 가장 큰 이유는 통화 인쇄의 위험 통제를 통과하지 못했기 때문이라고 말했습니다. , 빠른 정책 메커니즘을 사용하지만 보안을 크게 희생합니다.
