ทบทวนการโจมตี Harvest Finance ฉบับเต็ม: จะใช้ 20 ETH เพื่อสร้างรายได้ 30 ล้านดอลลาร์สหรัฐได้อย่างไร
ผู้แต่ง | ฉิน เสี่ยวเฟิง
บรรณาธิการ | ห่าวฟางโจว
ผลิต | Odaily
บรรณาธิการ | ห่าวฟางโจว
ตามประกาศ การโจมตีสูญเสียเงินไปทั้งหมด 33.8 ล้านดอลลาร์สหรัฐ (ก่อนหน้านี้รายงานเป็น 4 ล้านดอลลาร์สหรัฐ) คิดเป็นประมาณ 3.2% ของมูลค่าทั้งหมดที่กำหนดไว้ในข้อตกลงก่อนการโจมตี แจกจ่ายให้กับผู้ฝากเงินที่ได้รับผลกระทบในอนาคต Harvest Finance จะใช้กลไก "การเปิดเผยข้อมูล" สำหรับเงินฝาก ลดการโจมตีด้วยเงินกู้ด่วน ใช้เครื่อง Oracle เพื่อกำหนดราคาสินทรัพย์ และเพิ่มการกำหนดค่า arb ของเงินฝาก (เกณฑ์ปัจจุบันตั้งไว้ที่ 3%)
ผลิต | Odaily
เช้าวันนี้ Harvest Finance โปรโตคอลการรวมตัวของ DeFi ได้ออกแถลงการณ์เพื่อตอบโต้การโจมตีเงินกู้ด่วนเมื่อวานนี้
เมื่อเวลา 10.00 น. เมื่อวานนี้ ผู้ใช้ Twitter ได้แจ้งข่าวว่าผู้โจมตีใช้ต้นทุน (ค่าธรรมเนียมการจัดการ) จำนวน 20 ETH เพื่อเก็งกำไรจากการสูญเสียที่ไม่แน่นอนในโปรโตคอล Curve y ผ่านการกู้ยืมแบบแฟลช และกลุ่ม Curve.fi Y คือที่ที่ Harvest คลังลงทุน จากนั้นผู้โจมตีได้แปลงเงินเป็น renBTC และถอนเงินออกไป ผลที่ตามมาคือ Harvest สูญเสียเงินหลายล้านดอลลาร์ ผู้เข้าร่วมหลายคนอ้างว่าสูญเสียเงินมากกว่า 15% ถึง 20%
ได้รับผลกระทบจากสิ่งนี้ ราคาของ FARM ซึ่งเป็นโทเค็นการกำกับดูแลของ Harvest Finance ลดลงจาก 237 ดอลลาร์สหรัฐฯ เป็น 78 ดอลลาร์สหรัฐฯ โดยลดลงสูงสุดเกือบ 70% ณ ข่าวประชาสัมพันธ์วันนี้ ราคาของ FARM ได้เพิ่มขึ้นเป็นประมาณ 110 ดอลลาร์สหรัฐฯ ลดลงถึง 450 ล้านดอลลาร์สหรัฐ ลดลงมากที่สุดถึง 60%
อย่างไรก็ตาม โปรโตคอล Curve ไม่ได้รับผลกระทบ ราคาของโทเค็นการกำกับดูแล CRV เพิ่มขึ้นอย่างต่อเนื่องในช่วง 24 ชั่วโมงที่ผ่านมา โดยครั้งหนึ่งเคยเพิ่มขึ้นเป็น 0.44 USDT โดยเพิ่มขึ้นสูงสุดเกือบ 30%
ชื่อเรื่องรอง
(1) การทบทวนเหตุการณ์: การเก็งกำไรของสินเชื่อแฟลช
Harvest Finance เป็นผู้รวบรวมรายได้ของ DeFi ซึ่งมีหน้าที่หลักในการจัดหาสภาพคล่องให้กับกลุ่ม DeFi อื่น ๆ เพื่อหารายได้ให้กับผู้ให้บริการสภาพคล่องของตนเอง ก่อนการโจมตี Harvest Finance ให้สภาพคล่องเป็นหลักใน Curve protocol y pool
ผู้โจมตีตระหนักถึงการโจมตีและทำให้การเก็งกำไรเสร็จสมบูรณ์ได้อย่างไร
ก่อนอื่น ให้ฉันอธิบายตรรกะของการโจมตีนี้โดยย่อ พูดง่ายๆ มีสามขั้นตอน ได้แก่ "การยืม - การจัดการราคาในเชิงบวก - การจัดการราคาแบบย้อนกลับ":ผู้โจมตีให้ยืม USDT และ USDC จำนวนมากผ่านการกู้ยืมแบบแฟลช
USDT จำนวนมากถูกแปลงเป็น USDC ในกลุ่ม Y ส่งผลให้ราคาของ USDC เพิ่มขึ้น เนื่องจากราคาของ USDC ในกลุ่ม Harvest อ้างอิงถึงกลุ่ม Y จึงเพิ่มขึ้นเช่นกัน ในเวลานี้ USDC จะถูกใช้ เพื่อแลกเปลี่ยน fUSDC มากขึ้นใน Harvest pool;
ในกลุ่ม Y กระบวนการข้างต้นถูกย้อนกลับ และ USDC จำนวนมากถูกแปลงเป็น USDT ส่งผลให้ราคาของ USDC ลดลง ณ เวลานี้
ราคาของ USDC ใน Harvest Pool ก็ลดลงเช่นกัน สามารถใช้ fUSDC เพื่อแลกเปลี่ยนเป็น USDC มากกว่าเดิมเพื่อทำการเก็งกำไร
แน่นอน เพื่อให้สามารถดำเนินการธุรกรรมบนเครือข่ายได้ในระยะเวลาอันสั้น ธุรกรรมแต่ละรายการจะถูกเรียกเก็บเงินเต็มจำนวน
ประกาศ Harvest Finance อธิบายห่วงโซ่การโจมตีทั้งหมด:"20 ETH ถูกโอนผ่าน Tornado.cash แพลตฟอร์มการถ่ายโอนที่ไม่ระบุชื่อ Ethereum เป็นค่าธรรมเนียมการโจมตีติดตามผล ที่อยู่ wallet ของผู้โจมตีคือ af ถูกปรับใช้"ให้ยืม USDT จำนวนมาก (18,308,555.417594) และ USDC (50 ล้าน) ผ่านการยืมแฟลช Uniswap V2 และอัดฉีดเข้าไปในสัญญาโจมตี(หมายเหตุ: สินเชื่อ Flash ต้องการการยืมและการชำระคืน
การทำธุรกรรม
เสร็จสิ้น มิฉะนั้นเงินกู้ยืมจะถูกถอนออกและผู้โจมตี
การใช้ประโยชน์จากเวลาที่ว่างเปล่านี้ทำให้การทำธุรกรรมการเก็งกำไรเสร็จสมบูรณ์ การเก็งกำไรของสินเชื่อแฟลชยังเป็นวิธีการที่ค่อนข้างธรรมดาในปัจจุบัน )
สัญญาแปลง 17222012.640506 USDT เป็น USDC ผ่านข้อตกลงการแลกเปลี่ยนในกลุ่ม Curve protocol Y ผลกระทบของการแลกเปลี่ยนคือเนื่องจากการสูญเสียสินทรัพย์อื่นอย่างถาวร มูลค่าของ USDC ในกลุ่ม Y เพิ่มขึ้น และได้รับ 17216703.208672 USDC ในเวลานี้ ผู้โจมตีได้เพิ่มเงินต้นของเงินกู้แฟลชก่อนหน้า และผู้โจมตี ถือครองอยู่ประมาณ 67.21 ล้าน USDT
ผู้โจมตีฝากเงิน 49,977,468.555526 USDC ไปที่ตู้นิรภัย USDC ของ Harvest และแลกเปลี่ยน 51,456,280.788906 fUSDC ที่ราคาต่อหน่วย fUSDC/USDC=0.97126080216 ราคาต่อหน่วยก่อนการโจมตีคือ 0.980007 และตอนนี้ราคาต่อหน่วยคือ 0.9712 ซึ่งลดลงประมาณ 1% เมื่อเทียบเป็นรายเดือน ซึ่งไม่ได้ทำให้เกิดเส้นสีแดง 3% ที่กำหนดโดยกลยุทธ์การเก็งกำไรของ Harvest ดังนั้นการทำธุรกรรมจึงเกิดขึ้น ถูกต้องและประสบความสำเร็จและไม่ถูกบังคับให้กู้คืน
ผู้โจมตีแลกเปลี่ยน 17239234.653146 USDC ที่เหลือกลับไปเป็น 17,230,747.185604 USDT ผ่านกลุ่ม y เนื่องจากการฟื้นตัวของผลกระทบการสูญเสียที่ไม่ถาวร มูลค่าของ USDC ในกลุ่ม Y ลดลงในขณะนี้ และผู้โจมตีได้รับ 17,230,747.185604 USDT
ผู้โจมตีถอนเหรียญออกจากห้องนิรภัย USDC ของ Harvest เนื่องจากมูลค่าของ USDC ในกลุ่ม Y ลดลงในเวลานี้ ราคาต่อหน่วยของ fUSDC/USDC จึงเพิ่มขึ้นเป็น 0.98329837664 ผู้โจมตีได้แลกเปลี่ยนหุ้นก่อนหน้าทั้งหมดของ fUSDC (ประมาณ 51.45 ล้าน) กลับไปเป็น 50596877.367825 USDC. ยิ่งไปกว่านั้น USDC ยังได้รับการชำระโดย USDC vault ของ Harvest และไม่โต้ตอบกับกลุ่ม Y เลย ดังนั้นจึงไม่ส่งผลกระทบต่อราคา USDC ในกลุ่ม Y
หลังจากการเก็งกำไรดังกล่าว กำไรสุทธิของผู้โจมตี (ไม่รวมค่าธรรมเนียมเงินกู้ของสินเชื่อแฟลช) คือ 619408.812299 USDC จากนั้นผู้โจมตีทำขั้นตอนซ้ำหลายครั้งในธุรกรรมเดียวกัน
ภายใน 4 นาที ผู้โจมตีดำเนินการธุรกรรมการโจมตี 17 รายการกับ USDC vault จากนั้นใช้วิธีการที่คล้ายกันเพื่อโจมตี USDT vault และทำธุรกรรมการโจมตี 13 รายการเสร็จสิ้นภายใน 3 นาที
เมื่อเวลา 11:01:48 น. ของวันที่ 26 ตุลาคม ตามเวลาปักกิ่ง ผู้โจมตีโอนเงิน 13,000,000 USDC และ 11,000,000 USDT จากสัญญาการโจมตีไปยังที่อยู่ 0x3811765a53c3188c24d412daec3f60faad5f119bหลังจากการโจมตี หลายคนแสดงความคิดเห็นบน Harvest Twitter ว่าพวกเขาสูญเสียเงินไป 15%-20% KOL หลายคนแนะนำให้ผู้ใช้ถอนเงินจาก Harvest ก่อนเพื่อความปลอดภัยของเงิน
ตามสถิติของ Harvest การสูญเสียผู้ใช้ไม่ได้อยู่ในเชิงบวก: ราคาต่อหน่วยของคลัง USDC ลดลงจาก 0.980007 เป็น 0.834953 และราคาต่อหน่วยของคลัง USDT ลดลงจาก 0.978874 เป็น 0.844812 ลดลง 13.8% และ 13.7% ตามลำดับ
มูลค่ารวมที่สูญเสียไปประมาณ 33.8 ล้านดอลลาร์ หรือประมาณ 3.2% ของมูลค่าทั้งหมดที่ถูกล็อกไว้ในโปรโตคอลก่อนการโจมตี
ชื่อเรื่องรอง
(2) ทัศนคติที่เป็นทางการ: นอกเหนือจากการแก้ไขแล้ว ผู้โจมตีสามารถจ่ายเงินคืนได้
หลังจากเกิดอุบัติเหตุ ทีมงาน Harvest ได้ออกเอกสารระบุว่าเพื่อปกป้องผู้ใช้ ได้มีการดำเนินมาตรการเพื่อป้องกันการฝากเงินไปยัง Stablecoins และห้องนิรภัย BTC และเงินฝากที่มีอยู่จะยังคงได้รับ FARM
ตามประกาศเมื่อเช้านี้ Harvest ได้ถอนเงินทั้งหมดออกจากกลุ่มที่ใช้ร่วมกัน ซึ่งรวมถึง DAI, USDC, USDT, TUSD รวมถึง WBTC และ renBTC ปัจจุบันกองทุนเหล่านี้ถูกเก็บไว้ในห้องนิรภัยและไม่อยู่ภายใต้การควบคุมของตลาดอีกต่อไป นอกจากนี้ DAI, TUSD, WBTC และ renBTC ไม่มีส่วนเกี่ยวข้องกับการโจมตีนี้ และผู้ฝากเงินของห้องนิรภัยเหล่านี้ไม่ได้รับผลกระทบ
นอกจากนี้ เกี่ยวกับการชดเชยผู้ใช้ Harvest ระบุว่าเงินกว่า 2.47 ล้านดอลลาร์สหรัฐที่ผู้โจมตีส่งคืนจะถูกแจกจ่ายตามสัดส่วนให้กับผู้ฝากที่ได้รับผลกระทบผ่านภาพรวม และการเยียวยาอื่นๆ จะได้รับการวิเคราะห์และลงมติในการกำกับดูแล
อุบัติเหตุครั้งนี้ยังเผยให้เห็นความบกพร่องของกลไกระบบ Harvest
จากการวิเคราะห์ของทีมรักษาความปลอดภัย SlowMist สาเหตุหลักสำหรับการโจมตีครั้งนี้คือ fToken (fUSDC, fUSDT เป็นต้น) ใช้คำพูดจาก Curve y pool เมื่อสร้างเหรียญ ซึ่งทำให้ผู้โจมตีควบคุมจำนวน fToken ที่สร้างขึ้นโดยการจัดการ ราคาของออราเคิลผ่านการแลกเปลี่ยนครั้งใหญ่
สำหรับการเสนอราคา ขั้นตอนต่อไปสำหรับ Harvest คือการใช้ออราเคิลเพื่อกำหนดราคาสินทรัพย์
“ในขณะที่ราคาสินทรัพย์โดยประมาณสามารถกำหนดได้อย่างมีประสิทธิภาพจาก oracle ภายนอก (ให้บริการโดย Chainlink หรือ Maker) ราคาสินทรัพย์นั้นเชื่อมโยงกับราคาจริงอย่างหลวม ๆ หากมูลค่าสินทรัพย์ภายในโปรโตคอล DeFi พื้นฐานแตกต่างจากราคาเสนอของ oracle ห้องนิรภัยจะ เผชิญกับการเก็งกำไรอย่างเสรีและการโจมตีด้วยเงินกู้ด่วน อย่างไรก็ตาม นี่ไม่ใช่วิธีแก้ปัญหาของ Harvest แต่เราจะพิจารณาการใช้ oracles ในการออกแบบระบบและกลยุทธ์การลดผลกระทบที่เป็นไปได้”ยิ่งไปกว่านั้น ในอนาคต Harvest Finance จะใช้กลไก "การเปิดเผยข้อมูล" สำหรับเงินฝาก เพื่อลดการโจมตีของสินเชื่อแฟลช และเพิ่มการกำหนดค่าอาร์บีเงินฝาก (เกณฑ์ปัจจุบันกำหนดไว้ที่ 3%) นอกจากนี้ แผนการปรับปรุงสัญญาอัจฉริยะของ Harvest Finance ซึ่งเดิมมีกำหนดในวันที่ 27 ตุลาคม จะถูกเลื่อนออกไปเช่นกัน เพื่อให้สามารถประเมินความปลอดภัยอีกครั้งในบริบทของการโจมตี
เกี่ยวกับผู้โจมตี Harvest Finance ได้ประกาศที่อยู่ที่เกี่ยวข้องในคดีนี้ และออกเอกสารว่า "นอกเหนือจากที่อยู่ BTC ที่ถือครองเงินที่ถูกขโมยไป ตอนนี้เราได้รับข้อมูลส่วนตัวจำนวนมากที่สามารถระบุตัวบุคคลได้เกี่ยวกับผู้โจมตี ซึ่งค่อนข้าง เป็นที่รู้จักกันดีในชุมชนการเข้ารหัส"
อย่างไรก็ตาม Harvest Finance ดูเหมือนจะไม่มีความตั้งใจที่จะติดตามผู้โจมตี
ข้อมูลประจำตัว
"เราไม่สนใจที่จะเปิดเผยข้อมูลส่วนบุคคลของผู้โจมตี เราเคารพในเทคโนโลยีและความเฉลียวฉลาดของคุณ ตราบใดที่คุณคืนเงินให้กับผู้ใช้ ผู้โจมตีได้พิสูจน์ประเด็นของพวกเขาแล้ว หากพวกเขาสามารถคืนเงินให้กับผู้ใช้ได้ ก็จะสูงมาก ได้รับการชื่นชมจากทุกภาคส่วนของชุมชน การคืนเงินให้กับผู้ใช้ที่ได้รับผลกระทบคือจุดสนใจ"
เราเสนอเงินรางวัล $100,000 ให้กับบุคคลหรือทีมแรกที่ช่วยให้เราได้เงินคืน
หากทำการส่งคืนภายใน 36 ชั่วโมงถัดไป ค่าหัวคือ 400,000 ดอลลาร์ โปรดอย่าทำร้ายผู้โจมตีในกระบวนการนี้ และเราขอแนะนำอย่างยิ่งให้เน้นความพยายามทั้งหมดเพื่อให้แน่ใจว่าเงินของผู้ใช้จะถูกส่งคืนไปยังผู้ปรับใช้ได้สำเร็จ
เนื่องจากผู้โจมตีสร้างรายได้ผ่าน RenBTC ณ เวลาปัจจุบัน Harvest Finance ได้ประกาศอย่างเป็นทางการว่าได้รับที่อยู่การถอน RenBTC ที่เกี่ยวข้องผ่านความร่วมมือกับ RenProtocol และประกาศที่อยู่ BTC ที่ส่งออกผ่าน RenProtocol ขณะนี้กำลังขอความช่วยเหลือจากแพลตฟอร์มการซื้อขายเช่น Binance, Huobi, OKEx และ Coinbase ตรึงที่อยู่ที่เกี่ยวข้อง
ชื่อเรื่องรอง
(3) Harvest Finance ซึ่งเกี่ยวข้องอย่างลึกซึ้งกับความคิดเห็นสาธารณะเชิงลบ
เนื่องจากทัศนคติของ Harvest Finance ต่อผู้โจมตีค่อนข้าง "คลุมเครือ" หลายเสียงเชื่อว่าเจ้าหน้าที่ป้องกันการโจรกรรม และจัดฉากดราม่าครั้งใหญ่ของหัวขโมยที่ตะโกนว่า "หยุดขโมย"
Crypto KOL @Bitcoin ถูกตั้งคำถาม:
ในความเป็นจริง ไม่มีอะไรที่ทำกำไรได้มากไปกว่าการคว้าเงินต้นของผู้ใช้โดยตรง มูลค่าตลาดรวมของ FARM คือ 25 ล้าน และ 20% ของเหรียญของโปรเจกต์ แม้ว่าเหรียญทั้งหมดจะขายหมด แต่ก็จะได้รับ 5 ล้าน A กำไรหมื่นล้าน. เมื่อรวมกับแผนการจัดการของฝ่ายโครงการสำหรับเรื่องนี้ ฉันคิดว่ามีความเป็นไปได้สูงที่ฝ่ายโครงการจะขโมยจากพวกเขา ดังนั้นพวกเขาจะไม่ใช้เงินที่ได้มาเพื่ออุดช่องโหว่นี้อย่างแน่นอน
แฮ็กเกอร์รับความเสี่ยงและขโมยเงินเพียงสิบล้านดอลลาร์แต่ไม่ได้ระบายเงินรวมหลายร้อยล้านโดยตรง เห็นได้ชัดว่า พวกเขาไม่ต้องการให้โปรเจ็กต์ตายซึ่งสอดคล้องกับผลประโยชน์ของทีม
นักลงทุนบางคนถามบน Twitter ว่าพวกเขาสามารถใช้ส่วนหนึ่งของเหรียญของทีมเพื่อชดเชยผู้ที่ตกเป็นเหยื่อได้หรือไม่ Harvest ตอบว่าจำนวนเงินที่มากเกินไปและเขาไม่สามารถจ่ายได้ ในความเป็นจริงทุกคนรู้ว่าจะจ่ายหรือไม่และพวกเขาสามารถจ่ายได้หรือไม่เป็นสองสิ่งที่แตกต่างกัน ทีมนี้ ไม่ต้องการที่จะจ่ายเลยChris Blecตามที่นักลงทุน นักลงทุนในชุมชนได้รายงานการลดลงอย่างต่อเนื่องของมูลค่าสุทธิของ fusd ที่ถูกเก็งกำไร แต่ทีมงานได้เมินเฉยต่อสถานการณ์นี้มานานกว่าหนึ่งเดือน และปล่อยให้ "แฮ็กเกอร์" ทำการเก็งกำไร
CoinTelegraphนี่ไม่ใช่ครั้งแรกที่ Harvest Finance ตกอยู่ในวิกฤตความคิดเห็นของประชาชนสิ่งนี้เผยให้เห็นถึงความเสี่ยง: เงินทุนมากกว่า 1 พันล้านดอลลาร์ที่ถูกล็อคไว้ในสัญญาโครงการนั้นอยู่ภายใต้การควบคุมของนักพัฒนาที่ไม่ระบุตัวตนอย่างสมบูรณ์ และสงสัยว่าทีมพัฒนาจงใจปกปิดข้อเท็จจริงนี้
การพิมพ์สกุลเงินอ้างรายงานการตรวจสอบโดยทีมรักษาความปลอดภัย Haechi รายงานระบุว่าHarvest Finance มีรหัสการดูแลระบบที่ช่วยให้ผู้ถือสามารถสร้างโทเค็นและขโมยเงินของผู้ใช้ได้ตามต้องการ ซึ่งอาจถือครองโดยนักพัฒนาที่ไม่ระบุชื่อที่อยู่เบื้องหลังโครงการ
การพิมพ์สกุลเงิน
ปานจือเป่า
เขากล่าวว่าสาเหตุที่ใหญ่ที่สุดที่ Harvest ไม่เข้าร่วมการจัดการการเงิน DeFi ของการพิมพ์สกุลเงินคือพวกเขาไม่ผ่านการควบคุมความเสี่ยงของการพิมพ์สกุลเงิน โดยใช้กลไกนโยบายที่ดำเนินการอย่างรวดเร็ว แต่เสียสละความปลอดภัยอย่างมาก
