又是閃電貸套利攻擊！Harvest Finance 祭 10 萬美元懸賞駭客

鎖定資金破 10 億美元的 DeFi 項目 Harvest Finance 日前遭遇攻擊，據稱是駭客透過閃電貸成功套現 2400 萬美元，並且有很多參與者都自稱損失了 15% 以上的資金，受此消息影響，Harvest 治理代幣 FARM 一度暴跌 60% 以上。

https://twitter.com/CryptoFinally/status/1320595532885172224

Harvest Finance 項目方隨後發布推文解釋稱：

這次攻擊和其他套利攻擊一樣，源於一筆巨額閃電貸，攻擊者透過多次操縱 Curve Y 池的價格，耗盡 fUSDT 和 fUSDC 池內的資金，隨後將資金轉換成 renBTC 並套現。

官方表示，駭客動作迅速，在短短 7 分鐘連續發起端到端攻擊，平台甚至還沒來得及反應，但已第一時間要求幣安、 Coinbase 等主流交易所凍結這筆被盜的資金。據悉，攻擊者目前已向開發者返還 247 萬美元的 USDT 、 USDC ，約占到被盜資金量的 10%，官方承諾將把這筆資金通過快照，按比例分配給受影響的用戶，並強調：

我們目前已鎖定持有項目資金的比特幣地址，還掌握了駭客大量的個資，這位攻擊者在幣圈頗具盛名。我們將提供 10 萬美元的賞金，以獎賞能接觸到攻擊者並協助我們討回資金的個人或團隊。

In addition to the BTC addresses which hold the funds, there is now a significant amount of personally identifiable information on the attacker, who is well-known in the crypto community.

We are putting out a 100k bounty for the first person or team to reach out to the attacker

— Harvest (@harvest_finance) October 26, 2020

區塊鏈資安團隊慢霧科技分析指出，這次攻擊主要是 Harvest Finance 的 fToken（fUSDC 、 fUSDT）在鑄幣時採用 Curve y 池中的報價，即使用 Curve 作為餵價來源，導致攻擊者可趁機通過巨額兌換操控外部的價格來控制 Harvest Finance 中 fToken 的鑄幣數量，進而牟取暴利。

受負面消息影響，Harvest Finance 治理代幣 FARM 在 24 小時內暴跌了約 60％。根據 DeFi Pulse 的數據，FARM 在 Harvest 協議中的總鎖定價值也從 10 月 25 日的 10 億美元，大幅下降至 5.7 億美元左右。

值得注意的是，攻擊發生前一天，DeFi 分析師 Chris Blec 才剛揭示 Harvest Finance 項目存在巨大風險，他指出，項目合約所鎖定的 10 多億美元資金，完全受匿名開發者的控制，並且開發團隊存在刻意隱瞞這一事實的嫌疑。