HARVEST FINANCE - REKT

收割机对收获不闻不问。

一位技术娴熟的耕作者利用闪电贷，从FARM_USDT和FARM_USDC池中收获了3380万美元。

在动荡不安的时代，一些人转向神圣之文以寻求指导。

在破坏古埃及收成的十场瘟疫中，第一场带来了鲜血，第二场； 青蛙

罗斯柴尔德男爵建议人们在街上血流满地的时候买入。

如今，去中心化金融夏季盛世已圆满落幕，DFI-PERP的流动性已趋于平稳，而 觉悟的耕作者已明显地变得非常残暴。

在《出埃及记》7:25 8-15中，我们读道

"我将用青蛙给你们整个国家带来一场瘟疫。青蛙会爬到你和你的人民还有你所有的 官员身上。"

在我们的密码学元年，开发人员就是官员，正如古卷中所预言的那样，Harvest Finance 的开发者们肯定已经把青蛙都抓起来了。

套利分析

fUSDT下跌13.7%，$FARM下跌67%，两小时内黑客拿出5000万美元USDT闪贷， 然后利用Curve Finance Y池换取资金，将稳定币价值拉大。

这里提供了详细的交易分析。

以下行动持续了7分钟。功劳归于@valentinmihov

1. 将1140万USDC兑换成USDT ->USDT价格上涨。

2. 将6,060万USDT存入金库。

3. 将1140万USDT兑换成USDC ->USDT价格下跌

4. 从金库中提取6110万USDT -> 50万美元利润

5. 冲洗并重复32次。（无需事先测试）

6. 通过Tornado Cash转换为renBTC并退出到BTC / ETH

由于USDT的兑换价格，攻击者能够在第四步提取更多的USDT。由于撤资时USDT的价格较低，他们的股份 代表了金库池中更多的USDT。

大约4个循环可以容纳1千万的GAS限制，虽然每个循环的利润不到1%。 每次重复~50万美元，增加得很快。

LP存款和取款的价格计算机制是利用的源头，也就是说这种攻击可能会延续到renBTC池、FARM_TUSD池和FARM_DAI池。 然而，黑客在耗尽FARM_USDT中和FARM_USDC池的2500万美元或17%的可用资金后选择了停止 ，尽管如果他们愿意的话，可以很容易地继续将整个池子的资金抽干， 总金额为4亿美元。

FARM_USDT策略的代码如下

这表明计算了一些价格指数。

然而，由于他们指定了"tokenIndex"，我们可以假设他们不只是使用get_virtual_price()，而是 做了一些基础计算。功劳归于Andre Cronje

套利检查功能容许范围不够高， 但默认滑点容许范围3%则太高。

功劳归于PancakeBunnyFin

从他们的行为中获利的不仅仅是黑客。LP和Harvest开发人员也得到了一笔合理数额的资金，因为黑客 选择以USDT和USDC向Harvest部署者 抛回一些残羹剩饭（2,478,549.94美元）。

Harvest此后表示，将使用快照按比例返还给受影响的用户。

没有黑客。只有在@harvest_finance上简单的* 2400万美元（0x53f）诱人套利。

5000万美元的USDC闪电贷 @UniswapProtocol 兑换1100万美元（USDC/USDT） @CurveFinance ~6100万美元的fUSDT Vault 兑换1100万美元USDT/USDC yUSDT 提取$6100万，获利$50万 重复并洗干净@TornadoCash

• Julien Bouteloup (@bneiluj) 2020年10月26日

幸运的流动性提供者收益

大致数字如下。功劳归于Jiecut42

黑客--24 000 000美元

Uniswap LP--6,000,000美元

Harvest开发人员--2,500,000美元

Curve LP--1 000 000美元

Ethereum Gas--100,000美元

RenVM费用 20,000美元

功劳归于BitcoinWhiskers提供这张美丽的饼状图。

由于接触到所有的Curve池，veCRV持有者已经从通过Curve的额外交易量中获利， 因为黑客产生了约50万美元的交易费，这些费用将由所有 质押CRV的人分享。Curve交易费比前一天增加了8000%以上，因为黑客 兑换1亿多美元的USDT和USDC。

Uniswap LP也因为这位匿名超级耕作者的行为而大发神威。

Uniswap的总交易量在24小时内从1.48亿美元飙升至10亿美元。

其中92%的交易量来自USDT/ETH和USDC/ETH交易对， 产生了576万美元的手续费。

功劳归于Larry Cermak

机密资料提供者

举报和保护我们的撰稿人是我们在Rekt工作的重要组成部分。当您的作者 在写这篇报道时，有人联系我们，提供了关于Harvest Finance 在昨晚事件前几天行动的信息。

以下信息不作评论。

Harvest Finance团队与我联系，就两类资产的流动性池 提供激励寻求合作。

第一个是去信任的BTC，第二个是FARM/ETH。

我没有跟进他们，因为有些事情让人不快。

我并不是说是Harvest team，但看到智能合约3%的滑点，以及事实上 漏洞是在去信任的BTC上，这真"新奇"...

我认为，如果这不是Julien，那么一定是Harvest Finance，或者EMN黑客，或者是 有深厚闪电贷知识的人。

退款申请

一如既往，关于协议今后能否屏蔽或修改这类活动的问题， 已引起了一场辩论。在Curve电报群里，有人认为，Curve应该可以屏蔽 这种类型的活动，然而现有的智能合约无法被阻止或修改。

还有人呼吁renBTC退还他们从黑客活动中赚取的费用。这是一个 颇具争议的话题，迫使用户考虑使用去中心化协议的利弊。

马虎的安全

就在三周前的10月6日，Harvest Finance发布了一个安全更新公告，称他们 正在通过Peckshield、Haechi Labs和CertiK的"严格安全审计" 来确保其土地安全。

需要指出的是，Peck Shield和CertiK在今年年初的三次黑客攻击之前，也对Bzx进行了审计。

我们等待他们对这一情况的评论。

开发人员甚至似乎连专门的安全公司都不习惯于 必须考虑闪电贷对其代码的影响。

掌握闪电贷，就像在哈雷戴维森双雄上转战12世纪的马术比赛-- 挥舞着AK47；谁也没想到，平民百姓被打倒了，而且要等几年， 直到没有受过教育的群众能够保护自己不受这种野蛮商人的伤害。

Harvest Finance以一种愉快的被动攻击语气回应了这一事件。

twitter.com/harvest_finance/status/1320624369543057409

真实术语

套利/掠夺/黑客

术语差异变得越来越模糊，而"代码即法律"的 事实却变得清楚明了。

Harvest Finance使用的术语是套利经济攻击。有人认为这种活动构成犯罪， 而另一些人只是看到了一个更有能力的使用者行为，用现代机械进行产量耕作。

这是一种功利主义，还是无政府资本主义？

不管是哪种方式，肯定具有娱乐效果。

购者留心。

只有在春天忠实地播种的耕作者，才会在秋天收获丰收。 伯蒂·查尔斯·福布斯

REKT作为匿名作者的公共平台，我们对REKT上托管的观点或内容不承担任何责任。

捐赠 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

声明:

REKT对我们网站上发布的或与我们的服务相关的任何内容不承担任何责任，无论是由我们网站的匿名作者，还是由 REKT发布或引起的。虽然我们为匿名作者的行为和发文设置规则，我们不控制也不对匿名作者在我们的网站或服务上发布、传输或分享的内容负责，也不对您在我们的网站或服务上可能遇到的任何冒犯性、不适当、淫秽、非法或其他令人反感的内容负责。REKT不对我们网站或服务的任何用户的线上或线下行为负责。