編者按：本文來自巴比特資訊（ID：bitcoin8btc）編者按：本文來自
巴比特資訊（ID：bitcoin8btc）
總結：
編者按：本文來自
巴比特資訊（ID：bitcoin8btc）
編者按：本文來自
發生了什麼？
巴比特資訊（ID：bitcoin8btc）
，作者：Harvest Finance，編譯：灑脫喜，經授權發布。
發生了什麼？
10月26日，黑客利用閃電貸從DeFi協議Harvest的金庫中盜走了2400萬美元資金，而根據Harvest官方的分析報告顯示，閃電貸只是這次攻擊的一環，具體還涉及到了DeFi 協議的無常損失問題，儘管攻擊者事後歸還了大約250萬美元的資金，但Harvest用戶面臨的損失依舊超過了2000萬美元（具體約為3380萬美元），對此，Harvest官方發出了懸賞，並請求黑客歸還剩餘的資金。
我們對這一工程錯誤負責，並確保此類事件在未來得到緩解；
發生了什麼？
為受影響的用戶制定補救計劃是我們在未來一周的首要任務；
我們謙卑地請求攻擊者將資金退還給部署者，以便可以將它們分配給受影響的用戶；
發生了什麼？
UTC時間10月26日2:53:31，一名攻擊者從Harvest Finance的USDC和USDT金庫中竊取了資金。攻擊者利用了影響Curve.fi Y池中個人資產的套利和無常損失進行了攻擊，而Curve.fi Y池正是Harvest金庫投資的地方。協議的以下機制允許執行此類攻擊：
Harvest的投資策略計算投資於基礎實時協議資產的實時價值。金庫使用資產的價值來計算將要發給資金存放用戶的股份數量。當用戶從金庫中取出資金時，它們還使用資產的價值來計算用戶退出時應收到的支出。
一些金庫（包括USDC和USDT）中的資產存放在底層DeFi協議的共享池中（例如Curve.fi的Y池）。這些資產池中的資產會受到無常損失、套利和滑點等市場影響。因此，它們的價值可通過大量的市場交易來操縱。
攻擊者反複利用Curve.fi Y池中USDC和USDT的無常損失影響。他們利用被操縱的資產價值將資金存入Harvest的金庫，以一個對其有益的價格獲得金庫股份，然後以正常的價格退出金庫，從而產生利潤。以下是這次攻擊事件的跟踪鏈：
攻擊者的錢包地址是0xf224ab004461540778a914ea397c589b677e27b，其部署了一個合約0xc6028a9fa486f52efd2b95b949ac630d287ce0af，通過該合約，他們於UTC時間2020年10月26日02:53:31 執行了攻擊。而進行攻擊的10 ETH是通過0x4b7b9e387a79289720a0226f695913d1d11dbdc681b7218a432136cc089363c4這筆Tornado交易來隱藏來源的。
攻擊本身在0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877這筆交易中發起。
攻擊者從Uniswap獲得大量USDT（18,308,555.417594）以及USDC（50,000,000），以注入攻擊合約中。
在UTC時間2020年10月26日03:01:48 ，攻擊者將13,000,000 USDC和11,000,000 USDT從攻擊合約中轉移至地址0x3811765a53c3188c24d412daec3f60faad5f119b。0xf224ab004461540778a914ea397c589b677e27b。
下一步
二級標題
下一步
二級標題
二級標題
下一步
二級標題
二級標題
下一步
Harvest Finance協議有一個定期的每週計劃表，它需要保持所有農民的持續收益。根據2020年10月27日的排放計劃，Harvest Finance團隊宣布鑄造19637.46枚FARM代幣。而社區要求的，原定於10月27日發布的智能合約改進計劃將被推遲，以便在攻擊背景下再次評估其安全性。金庫中使用共享池的資金，將繼續從策略中提取，直到此類攻擊的緩解措施到位（見下一節）。這些措施，以及為受影響的用戶提供補救的基礎設施，將是團隊下一個開發重點。我們對這一工程錯誤負責，並確保此類事件在未來得到緩解。
二級標題
未來可能的緩解措施
Harvest Finance團隊致力於評估可能的緩解策略，並在即將發布的版本中實施這些策略以及任何必要的用戶體驗更改。我們將利用新金庫的可升級特性，以及基於時間鎖（timelock）的投資策略替換，並在發布前很好地與社區溝通緩解策略。
可能的修復技術包括以下這些選項：
實現存款的提交和顯示機制。這將消除在單筆交易中執行存款和取款的能力，因此，基於閃電貸的攻擊就變為不可行了。就用戶而言，這意味著在存款期間，他們的代幣將在一次交易中轉移到Harvest。用戶隨後會在另一筆交易中claim他們的股份，最好是在不同的區塊中。這將構成用戶體驗的變化，並可能導致更高，但仍可接受的gas成本。
一個更嚴格的配置現有存款arb的檢查策略。當前的閾值設置為3%，因此不足以保護金庫免受此類攻擊。一個更嚴格的閾值可能使這種攻擊在經濟上不可行，然而，在自然無常損失效應的情況下，它可能會限制存款，週日的事件超過了7分鐘，這表明，這一措施不夠有效，因此應被視為對其他措施的補充。
使用預言機來確定資產價格。雖然一個近似的資產價格可有效地從外部預言機（由Chainlink或Maker提供）中確定，但是它與實際股份價格的聯繫非常鬆散。如果底層DeFi協議內的資產價值與預言機報價不同，金庫將面臨自由套利和閃電貸攻擊。這不是Harvest的解決方案，但是，在系統設計和可能的緩解策略中，我們將考慮使用預言機。
1Paykw4s2WX4SaVjDrQkwSiJr16AiANhiM
1HLG86DDEzAxAGmEzxr1SUfPCWcnWA6bMm
14stnrgMFNR4LesqQRUdo5n1VUx9xdAMeg
18w2Bm2cCsbLjWQU9BcnjzK8ErmzozrVa3
1FS2t2eAjmjaNmADN6SMHYo7G4XGpX1osS
1NdAJ89k1qpRMpZLwuYGQ7VnM45xD2NJXa
1CLHhshrusvT4XADWA29R2H4ndsSUamEWn
Tornado交易0x4b7b9e387a79289720a0226f695913d1d11dbdc681b7218a432136cc089363c4；
針對丟失USDC和USDT資金用戶的補救方法
通過快照和MerkleDistributor分發攻擊者已退還的資金，我們與幫助創建這些工具的開發人員聯繫，並致力於構建可為受影響的用戶提供補救措施的基礎架構。分配資金是當務之急，一旦工具被構建出來後，我們將會發布更多關於資金分發的細節信息。
其他補救方法將在治理中進行分析和表決。
攻擊者信息和賞金
攻擊者使用了新生成的以太坊地址0xf224ab004461540778a914ea397c589b677e27bb來執行這次攻擊；
