USD:Harvest被攻擊，20個ETH套利2400萬美元，CRV卻漲了

Author：

Time：1900/1/1 0:00:00

編者按：本文來自小吒閑談，Odaily星球日報經授權轉載。昨天的一件大事，是Harvest被黑客攻擊了，還是經濟攻擊的那種，黑客盜走了2400萬美元。

本來用穩定幣參與挖礦，為了圖個穩定收益，這下好了，本金損失了。一、Harvest被攻擊過程

先是不少Harvest的用戶稱，自己的存入Harvest的fusdt，本金損失了10%左右，隨后Harvest官網發布被攻擊的信息。

CoinShares：上周數字資產投資產品凈流出650萬美元:金色財經報道，據CoinShares數據統計，數字資產投資產品的資金流出總額為650萬美元，而前4周的資金流入總額為7.42億美元。上周交易量為12億美元，低于全年周平均水平，而前一周為24億美元。比特幣是主要焦點，正如最近的情況一樣，流出了1300萬美元，而做空比特幣投資產品則連續13周流出總計550萬美元。以太坊上周以660萬美元的流入位居排行榜首位，這表明今年一直不佳的市場情緒正在慢慢開始好轉。[2023/7/24 15:55:31]

對于Harvest遭受的閃電攻擊，慢霧安全團隊對此事件的簡要分析，如下：1.攻擊者通過Tornado.cash轉入20ETH作為后續攻擊手續費；2.攻擊者通過UniswapV2閃電貸借出巨額USDC與USDT；3.攻擊者先通過Curve的exchange_underlying函數將USDT換成USDC，此時CurveyUSDC池中的investedUnderlyingBalance將相對應的變小；4.隨后攻擊者通過Harvest的deposit將巨額USDC充值進Vault中，充值的同時Harvest的Vault將鑄出fUSDC，而鑄出的數量計算方式如下：amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());計算方式中的underlyingBalanceWithInvestment一部分取的是Curve中的investedUnderlyingBalance值，由于Curve中investedUnderlyingBalance的變化將導致Vault鑄出更多的fUSDC；5.之后再通過Curve把USDC換成USDT將失衡的價格拉回正常；6.最后只需要把fUSDC歸還給Vault即可獲得比充值時更多的USDC。7.隨后攻擊者開始重復此過程持續獲利。總結：此次攻擊主要是HarvestFinance的fToken(fUSDC、fUSDT...)在鑄幣時采用的是Curvey池中的報價(即使用Curve作為喂價來源)，導致攻擊者可以通過巨額兌換操控預言機的價格來控制HarvestFinance中fToken的鑄幣數量，從而使攻擊者有利可圖。把黑客攻擊Harvest過程再簡化一下：先用USDC把USDT的價格拉高->存款得fUSD->再把USDT換回USDC平衡溢價->fUSD換回USDT，上述流程反復循環，反復套利。二、DeFi套利，可謂一本萬利

ProShares宣布撤回2倍杠桿比特幣ETF的提案:金色財經報道，ProShares?宣布將撤回其關于 2 倍杠桿比特幣交易所交易基金 (ETF) ProShares UltraBitcoin Strategy ETF 的提案。目前沒有透露突然撤回的原因。但這可能與美國證券交易委員會正在進行的審查有關。?

根據數字資產研究公司 K33 Research 的一份報告，ProShares 的比特幣期貨交易所交易基金 (ETF) BITO 在比特幣價格上漲的情況下表現不佳，這主要是由于與其期貨合約相關的結構性成本。[2023/6/4 11:56:25]

黑客通過閃電貸攻擊Harvest，付出和收益如何呢？成本：20個ETH；工具：閃電貸；收益：2400萬美元。用20個ETH搏了2400萬美元，然后通過renbtc通道進行匿名洗幣等操作。當然這個攻擊過程中，收益的不止黑客，還有uniswap、Curve、ETH礦工、RenVM，各自收益如下表。

Joker Charlie Club Genesis系列NFT24小時交易額漲幅達135.19%:金色財經消息，據NFTGo.io數據顯示，Joker Charlie Club Genesis系列NFT總市值達358.03萬美元，在所有NFT項目總市值排名中位列第754；其24小時交易額為11.34萬美元，增幅達135.19%。截止發稿時，該系列NFT當前地板價為2.99ETH。[2022/5/24 3:38:31]

這么多協議受益，而受損的是fusdt持有者，也就是Harvest中用穩定幣挖礦的用戶。攻擊過程中，uniswap的成交量一下達到19.7億美金，這個量有點嚇人。

聲音 | Charlie Lee：絲路暗網讓他認識了比特幣:在Laura Shin的播客上，Litecoin的創建者談到了市場上最流行的虛擬貨幣比特幣，還提到了他對比特幣的了解程度。他對這十年感到驚訝，因為他覺得像是昨天才認識比特幣。Lee說，他在一篇談論絲綢之路的文章中了解到了比特幣。在了解了它之后，Lee說比特幣吸引了他的注意力，因為它是一種“更好的貨幣形式”并且它具有審查能力。[2018/11/4]

這個成交量放在過去是太可能發生的。那么問題來了，讓黑客用閃電貸攻擊，導致用戶資產受損失。這個閃電貸不是個好東西？閃電貸，設計的初衷就是給用戶在各協議之間套利，一丟丟錢就可以套利了。DeFi各協議之間可以相互組合，而這過程會積累一些風險，當用戶發現協議之間的套利空間，就會發起攻擊。這樣反逼DeFi項目方做好安全，不僅是代碼層面上的安全，還有協議經濟上的安全。狼，是自然的清道夫。那么這個閃電貸，應該是DeFi協議的清道夫，專業清理協議中存在的問題。從這里也突出一個問題，DeFi項目的門檻真是高，愛西歐的時候，一個白皮書就可以出去忽悠融資發幣等，然后fork一個代碼，修修改改，主網上線等。當然DeFi里面也是可以Fork一個，比如cream、各類食物挖礦等等，成熟模型之上，稍加修改一下。但是想要要有點創新，或者故事聽起飽滿一些，沒有技術實力和經濟設計實力，都搞不了。三、Harvest遭受損失，CRV卻漲了

Harvest被攻擊，用戶承受損失，而CRV價格卻暴漲了。