鎖定資金破 10 億美元的 DeFi 項目 Harvest Finance 日前遭遇攻擊，據稱是駭客透過閃電貸成功套現 2400 萬美元，並且有很多參與者都自稱損失了 15% 以上的資金，受此消息影響，Harvest 治理代幣 FARM 一度暴跌 60% 以上。
FUNDS AT RISK
If you are using Harvest Finance, there is an ongoing attack on Curve pools – BTC, USDT, USDC & other stablecoins.
24M has been stolen.
Many reports of 15%+ loss on USDT & USDC withdrawals.
Withdraw your funds!
Please retweet and share to help others.
— CryptoFinally
(@CryptoFinally) 2020 年 10 月 26 日
Harvest Finance 項目方隨後發布推文解釋稱：
這次攻擊和其他套利攻擊一樣，源於一筆巨額閃電貸，攻擊者透過多次操縱 Curve Y 池的價格，耗盡 fUSDT 和 fUSDC 池內的資金，隨後將資金轉換成 renBTC 並套現。
官方表示，駭客動作迅速，在短短 7 分鐘連續發起端到端攻擊，平台甚至還沒來得及反應，但已第一時間要求幣安、Coinbase 等主流交易所凍結這筆被盜的資金。據悉，攻擊者目前已向開發者返還 247 萬美元的 USDT、USDC ，約占到被盜資金量的 10%，官方承諾將把這筆資金通過快照，按比例分配給受影響的用戶，並強調：
我們目前已鎖定持有項目資金的比特幣地址，還掌握了駭客大量的個資，這位攻擊者在幣圈頗具盛名。我們將提供 10 萬美元的賞金，以獎賞能接觸到攻擊者並協助我們討回資金的個人或團隊。
In addition to the BTC addresses which hold the funds, there is now a significant amount of personally identifiable information on the attacker, who is well-known in the crypto community.
We are putting out a 100k bounty for the first person or team to reach out to the attacker
— Harvest Finance (@harvest_finance) 2020 年 10 月 26 日
區塊鏈資安團隊慢霧科技分析指出，這次攻擊主要是 Harvest Finance 的 fToken（fUSDC、fUSDT）在鑄幣時採用 Curve y 池中的報價，即使用 Curve 作為餵價來源，導致攻擊者可趁機通過巨額兌換操控外部的價格來控制 Harvest Finance 中 fToken 的鑄幣數量，進而牟取暴利。
受負面消息影響，Harvest Finance 治理代幣 FARM 在 24 小時內暴跌了約 60％。根據 DeFi Pulse 的數據，FARM 在 Harvest 協議中的總鎖定價值也從 10 月 25 日的 10 億美元，大幅下降至 5.7 億美元左右。
值得注意的是，攻擊發生前一天，DeFi 分析師 Chris Blec 才剛揭示 Harvest Finance 項目存在巨大風險，他指出，項目合約所鎖定的 10 多億美元資金，完全受匿名開發者的控制，並且開發團隊存在刻意隱瞞這一事實的嫌疑。
這篇文章 又是閃電貸套利攻擊！Harvest Finance 祭 10 萬美元懸賞駭客 最早出現於 區塊客。
