首發 | Harvest.Finance攻擊事件分析_NCE

流動性挖礦(YieldFarming)是近期DeFi領域中的最熱話題，以各種食物為主題的流動性挖礦似乎每日都能湊成一桌饕餮盛宴，大爆炸式地將新的DeFi概念灌輸給投資者與用戶。

每天新的流動性挖礦項目都會出現，同時舊項目也在退出人們的視野。對于這些項目“新人哪聞舊人哭”的快速交替，身為以建立區塊鏈健康安全生態為己任的CertiK，希望給大家帶來更有價值的問題和答案：當我們在討論流動性挖礦項目安全性的時候，討論點和關注點都應該是什么？

安全這個話題難以簡單概述，非細致的講解不能窺探一二。

本文在此以Harvest.Finance為例，分析作為流動性挖礦項目其存在的安全風險。

Harvest.Finance，它的名字非常直觀的說明了其設計意圖——流動性挖礦。

該項目的代碼已經開源，網站社區等也一應俱全。盡管Harvest.Finance的審計報告已公布，其項目中被審計部分的安全性目前可以被信任，但是這并不能說明Harvest.Finance的整體安全性得到了保障。

《精靈達人3D》正式首發 Cocos-BCX 主網:據官方消息，近日，由生態合伙人 DAPPX 參與開發的《精靈達人3D》正式首發于游戲公鏈 Cocos-BCX 主網。《精靈達人3D》是一款以精靈寶可夢為題材的抓寵游戲，游戲美術采用全3D 制作。用戶可通過 CocosWallet ， DAPPX 或 IMCOCOS 登錄 COCOS 主網賬號即可體驗。截至目前，Cocos-BCX 主網已上線《加密騎士團》《惡龍必須死》《XPEX怪獸世界》《Go Block》《可可奪幣》《熊貓運動會》等多款玩法多樣的趣味性鏈游，游戲公鏈生態在逐步壯大和完善。[2020/8/20]

CertiK安全研究團隊從該項目智能合約出發，發現了該項目中存在與其他類似流動性挖礦項目同樣的問題：治理中心化，即許多關鍵操作只允許項目管理者來進行，沒有任何對項目限制者的限制手段，例如：

圖1：DelayMinter.sol

首發 | 劉堯：百度區塊鏈推出天鏈平臺賦能鏈上業務:12月20日，由CSDN主辦的“2019中國區塊鏈開發者大會”12月20日在北京舉行。百度智能云區塊鏈產品負責人劉堯以《企業區塊鏈賦能產業創新落地》為主題進行了演講，他指出：2020年將是區塊鏈企業落地的元年，為了支持中國區塊鏈的產業落地，百度將區塊鏈進行平臺化戰略升級，依托百度智能云推出天鏈平臺，就是要賦能360行的鏈上業務創新落地。[2019/12/20]

參考鏈接：

https://github.com/harvest-finance/harvest/blob/master/contracts/DelayMinter.sol

圖2：Governable

參考鏈接：

https://github.com/harvest-finance/harvest/blob/master/contracts/Governable.sol

首發 | DVP: Bitstamp交易所存在漏洞 可導致大量KYC等信息被泄露:金色財經訊，近日，DVP收到安全人員提交的全球知名交易所Bitstamp的漏洞，攻擊者可以利用該漏洞查看大量用戶ID、銀行卡等敏感信息，嚴重威脅用戶信息安全。為避免發生KYC泄露的惡性事件，DVP安全團隊在收到該漏洞后，第一時間通知該平臺進行修復，但未收到回應。DVP提醒相關用戶關注個人信息安全，以免造成損失。[2019/8/13]

圖3：Storage.sol

參考鏈接：

https://github.com/harvest-finance/harvest/blob/master/contracts/Storage.sol

圖1中第102行起的函數executeMint()的功能是進行鑄幣操作，由于onlyGovernance的限制，使得只有于onlyGovernance許可的地址可以執行該函數，而onlyGovernance的定義來自于圖2中14行與圖3中27行的代碼，最終從圖3的28行可以看到所謂的“Governance”其實僅是指項目擁有者本身，并不是如名稱所暗示指代一個管理委員會。

首發 | 《一起來捉妖》中玩家達到22級將會接觸到專屬貓的玩法 ?:今日騰訊上線首款區塊鏈游戲《一起來捉妖》，經金色財經查證，游戲中玩家達到22級將會接觸到專屬貓的玩法，而非此前官方對外宣稱的15級。除了誘貓鈴鐺召喚出的0代貓以及部分通過運營活動獎勵的專屬貓以外，游戲中所有的貓默認都是未上鏈狀態。未上鏈的貓不能出售，也無法進入市場與其他玩家配對；但是你可以使用這些貓與你的QQ/微信好友進行配對，產出新的小貓。使用道具“天書筆”可以將你的貓記錄到區塊鏈。當貓被記錄到區塊鏈以后，這些貓就可以進入市場，通過配對賺取點券，或者出售賺取點券。專屬貓是否上鏈，并不影響它的增益效果。但只有上鏈后，它才能面對全服務器所有的玩家進行繁殖、交易。

?

《一起來捉妖》中的專屬貓玩法，基于騰訊區塊鏈技術，游戲中的虛擬數字資產得到有效保護。此外，基于騰訊區塊鏈技術，貓也可以自由繁殖，并且運用區塊鏈技術存儲、永不消失。[2019/4/11]

通過觀察代碼可以了解到，該項目的治理與重要操作的控制權都被項目管理者據有，中心化程度極高，而這一點明顯違背了以去中心化為基本的流動性挖礦項目的本質。

公告 | 火幣全球站6月29日16:00全球首發 Project PAI:火幣全球站定于新加坡時間6月29日16:00 Project PAI (PAI) 充值業務。7月2日16:00在創新區開放PAI/BTC, PAI/ETH交易。7月6日16:00開放 PAI提現業務。[2018/6/29]

即便項目管理者加入了一個延遲操作的功能，并設置了每一個鑄幣操作都需要提前公布給社區，這依舊無法從根本上解決問題。尤其是當Harvest.Finance項目把延遲的時間期限設置為12個小時，這也違背了大部分人的作息規律。

除了項目的治理中心化程度過高的通病，流動性挖礦項目同樣存在被套利攻擊的風險。

套利攻擊是利用價格差進行低買高賣完成的以獲利為目的的交易行為。已經發生過套利攻擊的著名項目有Balancer和bZx。

10月26日Harvest.Finance項目也發生了套利攻擊事件，損失超3380萬美元。

對于此類攻擊，需要弄清兩個問題：

1.發生套利攻擊的條件是什么？

2.為什么Harvest.Finance項目滿足了這些條件？

發生套利事件需要的條件其實非常直觀：可以完成低買高賣。

簡化來說就是可以通過自己的交易或者操作來影響交易物的價格。

這種交易影響價格的手段可以是直接改變，也可以是改變交易物的數目來間接的影響價格。

流動性挖礦項目自身通過交易來鑄幣或者燃燒幣的操作，十分容易滿足改變交易物的操作要求。

一旦套利攻擊者發現了可利用的攻擊點，可以在沒有風險的情況下當即利用閃電貸借取大額資金，將套利攻擊的獲利擴大。

圖4：Harvest.Finance套利攻擊的交易之一

參考鏈接：

https://etherscan.io/tx/0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877

圖4所示交易是在此次發生于Harvest.Finance項目的套利攻擊的其中一筆交易，攻擊者通過查看該項目智能合約中控制鑄造fUSDC代幣數目的函數，發現鑄造的代幣數目依賴于其參考的Curve項目的計算公式，繼而依靠閃電貸獲得大量初始資金進行套利攻擊。

攻擊者的執行交易的流程大致如下：

1.閃電貸借貸得到大筆USDC和USDT；

2.利用借貸所得USDT通過Curve轉換為USDC，提高USDC價格；

3.將獲得的USDC存入Harvest.Finance項目的USDC儲藏室(vault)中,同時Harvest.Finance會為該存入的行為攻擊者鑄造一定數目的fUSDC(鑄造的數目受Curve影響)；

4.?將初始借貸所得的USDC通過Curve轉換為USDT，提高USDT的價格，同時USDC價格降低；

5.最終攻擊者將持有額所有fUSDC轉換回USDC，此時因為Curve中的USDC價格降低，導致影響了兌換回USDC的數目增加。

最終攻擊者利用類似操作，完成了14筆利用針對USDC的套利交易，然后利用同樣的思路，針對USDT完成了另外13筆套利交易。

根據官方報告，計算了攻擊者返還給項目的1300萬USDC和11萬USDT之后，總損失超過2億人民幣。

在Harvest.Finance這次的套利攻擊事件中，攻擊者通過影響USDC、USDT代幣的價格來進行套利。

因此，項目代幣價格不能簡單的依賴于其相對數目，而應該穩定建立于實時、有效、可靠的價格提供系統之上。例如目前的chainlink的價格預言機便可以一定程度上解決此類隱患。

當討論一個流動性挖礦項目的安全性時，不應僅僅簡單的查看程序代碼、智能合約的安全，而需要查看更加深層的、邏輯性的漏洞，例如治理中心化以及代幣價格控制邏輯可能導致的套利攻擊風險。

傳統的代碼審計并不適合包括流動性挖礦在內的區塊鏈項目。

面對此類項目，需要有經驗豐富的區塊鏈項目專業審計人員，從傳統代碼審計、邏輯審計、金融模型審計等多角度對項目的安全進行逐步且完備的審核，才可確保項目的安全。

迄今為止，CertiK已為超過200名機構用戶提供了優質服務，保護了超過80億美元的數字資產與軟件系統免受安全損失。

歡迎搜索微信關注CertiK官方微信公眾號，點擊公眾號底部對話框，留言免費獲取咨詢及報價！?

Tags：USDANCNCENANUSDMDANCE價格Aggregated FinanceBafi Finance Token

DAI