慢雾：Harvest.Finance 被黑事件简析

2020 年 10 月 26 号，据慢雾区消息 Harvest Finance 项目遭受闪电贷攻击，损失超过 400 万美元。以下为慢雾安全团队对此事件的简要分析。

1. 攻击者通过 Tornado.cash 转入 20ETH 作为后续攻击手续费

2. 攻击者通过 UniswapV2 闪电贷借出巨额 USDC 与 USDT

3. 攻击者先通过 Curve 的 exchange_underlying 函数将 USDT 换成 USDC，此时 Curve yUSDC 池中的 investedUnderlyingBalance 将相对应的变小

4. 随后攻击者通过 Harvest 的 deposit 将巨额 USDC 充值进 Vault 中，充值的同时 Harvest 的 Vault 将铸出 fUSDC，而铸出的数量计算方式如下：

    

amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());

    

计算方式中的 underlyingBalanceWithInvestment 一部分取的是 Curve 中的 investedUnderlyingBalance 值，由于 Curve 中 investedUnderlyingBalance 的变化将导致 Vault 铸出更多的 fUSDC

5. 之后再通过 Curve 把 USDC 换成 USDT 将失衡的价格拉回正常

6. 最后只需要把 fUSDC 归还给 Vault 即可获得比充值时更多的 USDC。

7. 随后攻击者开始重复此过程持续获利

其他攻击流程与上述分析过程类似

参考交易哈希：

0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877

总结：此次攻击主要是 Harvest Finance 的 fToken(fUSDC、fUSDT...) 在铸币时采用的是 Curve y池中的报价(即使用 Curve 作为喂价来源)，导致攻击者可以通过巨额兑换操控预言机的价格来控制 Harvest Finance 中 fToken 的铸币数量，从而使攻击者有利可图。

关于慢雾

慢雾科技是一家专注区块链生态安全的公司，成立于 2018 年 01 月，总部位于厦门，由一支拥有十多年一线网络安全攻防实战的团队创建，团队成员曾打造了拥有世界级影响力的安全工程。慢雾科技已经是国际化的区块链安全头部公司，主要通过“威胁发现到威胁防御一体化因地制宜的安全解决方案”服务了全球许多头部或知名的项目，包括：加密货币交易所（如：火币、OKEx、币安等）、加密货币钱包（如：imToken、RenrenBit、MYKEY 等）、智能合约（如：TrueUSD、HUSD、OKUSD 等）、DeFi 项目（如：JUST、BlackHoleSwap、DeFiBox 等）、底层公链（如：EOS、OKChain、PlaTON 等），已有商业客户近千家，客户分布在十几个主要国家与地区。

慢雾科技积极参与了区块链安全行标、国标及国际标准的推进工作，是国内首批进入工信部《2018年中国区块链产业白皮书》的单位，是粤港澳大湾区“区块链与网络安全技术联合实验室”的三家成员单位之一，成立不到两年就获得「国家高新技术企业」认定。

慢雾科技的安全解决方案包括：安全审计、威胁情报(BTI)、漏洞赏金、防御部署、安全顾问等服务并配套有加密货币反洗钱(AML)、假充值漏洞扫描、漏洞监测(Vulpush)、被黑档案库(SlowMist Hacked)、智能合约防火墙(FireWall.X)、SafeStaking 等 SAAS 型安全产品。基于成熟有效的安全服务及安全产品，慢雾科技联动国际顶级的安全公司，如 Akamai、Cloudflare、BitDefender、天际友盟、IPIP 等及海内外加密货币知名项目方、司法鉴定、公安单位等，从威胁发现到威胁防御上提供了一体化因地制宜的安全解决方案。慢雾科技在行业内曾独立发现并公布数多起通用高风险的区块链安全漏洞，得到业界的广泛关注与认可。给区块链生态带来安全感是慢雾科技努力的方向。

往期回顾

慢雾参与国家标准研究项目《区块链服务技术安全要求》编制

慢雾：DeFi Saver 用户的 31 万枚 DAI 是如何被盗的？

国家区块链漏洞库发布《区块链漏洞定级细则》，慢雾重点贡献《外围系统漏洞定级细则》

慢雾为香港浸会大学金融硕士课程赞助“慢雾网络安全奖”

喜讯 | 慢雾科技荣获“区块链行业高成长企业奖”，创始人余弦荣获“行业先锋人物奖”

---

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾 GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF

火星号

http://t.cn/AiRkv4Gz

链闻号

https://www.chainnews.com/u/958260692213.htm

本文始发于微信公众号（慢雾科技）：慢雾：Harvest.Finance 被黑事件简析