ARV:DeFi項目Harvest Finance造成用戶損失超2000萬美元，知名KOL提醒用戶撤離_VestXCoin

10月26日消息，鎖定資金量超10億美元的DeFi項目HarvestFinance被曝遭黑客攻擊，據稱已造成大約2400萬美元的損失，很多參與者自稱損失了15%以上的資金，受此消息影響，Harvest的治理代幣FARM一度暴跌70%以上。

而Harvest項目方則發布推文解釋稱：

“這次攻擊和其他套利經濟攻擊一樣，緣于一筆大額的閃電貸，攻擊者多次操縱curvey池以提取fUSDT和fUSDC資金，隨后將資金轉換成renBTC，并退出為BTC。”此外，Harvest項目方還表示：

“我們正致力于減輕對穩定幣和BTC池的攻擊，一旦有更多細節可用，我們將會進行實時更新。”而據DeFi之道提供的最新消息顯示，黑客以USDT和USDC的形式歸還了大約247.8萬美元的資金，約占到被盜資金量的10%，而Harvest項目方則表示隨后會將這些資金歸還給受影響的用戶。?

DeFi社區炸鍋，知名KOL提醒用戶應撤離Harvest

目前，關于這次Harvest攻擊的信息依舊非常有限，而DeFi社區的知名參與者則發出提醒稱，Harvest用戶應盡快將其資金從該項目的合約中提取出來。

鏈游公司Spielworks推出可退款的NFT計劃:金色財經報道，區塊鏈游戲初創公司 Spielworks 與 Web3 平臺 Mycelium Network 合作推出了一項計劃，允許購買NFT獲得全額退款。 該團隊解釋說，在該計劃中，獲得名為“Reverties”的 NFT 的用戶有資格獲得全額USDC退款。該項目還允許用戶在 Spielworks 的游戲《Dungeon Master》中質押這一系列新的 NFT，并通過單獨的鑄造機制使用 USDC 購買它們。

通過此次合作，Spielworks 將利用 Mycelium Network 支持 USDC 購買。在鑄幣交易中，USDC 將被轉移到Aave 協議上的DeFi借貸池中。該團隊表示，貸款池中賺取的利息將用于回購 Spielwork 的代幣，以幫助他們的社區。部分收入還將用于幫助澳大利亞袋熊保護協會。[2023/7/13 10:51:33]

截至發稿時，Harvest合約鎖定的資金已驟降至5.9億美元，較24小時之前下滑42.41%。

而在這次攻擊發生的前一天，DeFi觀察者ChrisBlec則揭示了Harvest項目所存在的巨大風險，其提到稱，Harvest項目合約所鎖定的10多億美元資金，完全受匿名開發者的控制，并且開發團隊存在刻意隱瞞這一事實的嫌疑。

Web3支付基礎設施Suberra宣布發布新的非托管加密借記卡:金色財經報道，Web3支付基礎設施Suberra宣布發布新的非托管加密借記卡。Suberra 卡允許用戶在任何地方使用他們的加密貨幣購買任何東西，同時還可以獲得高達 1% 現金返還的獎勵。[2023/4/27 14:31:05]

以下是譯文內容：

DeFi的發展太快，要跟上它的節奏實在太難，即使是我也是如此。

但這并不意味著我們無法保證安全，并且我們不必成為開發者就可以做到這一點。

在這篇文章中，我將分享自己發現HarvestFinance存在高危管理密鑰風險的步驟，而這一事實危及到了用戶的資金。

就在昨天，當我查看DeFiPulse，并看到排行榜中排名第四的項目HarvestFinance時，其鎖定的資金量已超過了10億美元，但我發現自己對這個項目并不了解。

我第一次聽說HarvestFinance，是他們為許多GitcoinGrants參與者捐款50,000美元，當時其宣布這一消息時，我確實有關注到它。

兩天前，我突然注意到一條關于Harvest鎖定資金量突破10億美元的推文。

期權交易平臺 Aevo 24 小時交易量超 100 萬美元:金色財經報道，鏈上結構化產品 Ribbon Finance 推出的期權交易平臺 Aevo 24 小時交易量與期權持倉量均超 100 萬美元。

此前報道，期權交易平臺 Aevo 主網于北京時間 4 月 7 日正式上線，允許用戶使用 USDC 進行交易。[2023/4/10 13:55:01]

看到這一點，我記下了要檢查的內容。Harvest是目前市場上眾多的收益農耕項目之一，我還沒有時間去研究每一個，但是突破10億美元的項目，無疑會讓我產生興趣。

我的第一站就是看他們的網站，找到它并不難，他們的官方Twitter介紹里就有鏈接。

這是一個典型的收益農耕用戶界面，在點擊了一段時間后，我發現他們接受了多個代幣存款，包括UniswapLP代幣，我開始想知道，這個項目的去中心化程度到底有多高。

這一部分實際上非常重要，因為很少有DeFi用戶會這么干。任何時候，當一個智能合約接受存款時，你首先要問的問題是“這個產品的去中心化程度如何？資金是如何被持有的？有管理密鑰嗎？如果有的話，它能夠做什么？”

美國金融業監管局調查加密產品和服務提供商針對散戶的宣傳情況:11月18日消息，美國自律組織金融業監管局（FINRA）正在對各大公司涉及加密資產產品和服務的散戶通信進行有針對性的檢查，涵蓋2022年7月1日至2022年9月30日期間的通信。FINRA要求各公司為每一次通信提供額外信息，例如首次公開的日期、是否向FINRA的廣告監管部門備案、該公司的負責人是否批準通信以及識別通信中提到的加密資產或服務。

根據FINRA的規定，在任何30天內向超過25名散戶投資者發布或提供的任何書面（包括電子版）信息均被稱為“散戶通信”。它還適用于視頻、社交媒體、移動應用程序和網站。（Cointelegraph）[2022/11/18 13:22:39]

一旦這些問題出現在你的腦海中，那你就需要在存款之前得到答案。如果你在沒有答案的情況下就存款，那你就是在賭博。

我開始點擊他們的FAQ和Wiki標簽，直到找到一些線索。首先，我看到Harvest的“技術資料”里提到了時間鎖。

如你所見，在“技術資料”中沒有提及關于管理密鑰的其他內容。

什么是時間鎖？它是一種智能合約，它為以太坊管理密鑰調用的任何交易添加延遲，從而讓用戶有時間檢查交易，并及時取出自己的資金。

SBF：添加Cardano（ADA）已經在FTX路線圖中:金色財經報道，FTX首席執行官Sam Bankman-Fried(SBF)在社交媒體上表示，其交易平臺上添加Cardano（ADA）已經在路線圖中。SBF還透露，FTX還將Wie其國際用戶提供與Cardano（ADA）相關的永續期貨服務。根據CMC最新數據顯示，當前Cardano（ADA）約為0.361977

美元，是市值第八大加密貨幣。[2022/10/24 16:36:37]

也就是說，如果沒有某種密鑰，那就根本用不到時間鎖。

所以當我看到時間鎖這個詞，而技術資料中沒有提及管理密鑰或它能夠做什么時，我知道我必須更深入地調查這個項目。

在他們的Wiki頁面上，我發現了一個名為“HarvestSecurity”的鏈接。通常，當你在DeFi產品網站上看到一個叫做“Security”的頁面時，你一定會找到一些審計報告。而我確實也看到了。

HarvestFinance在其網站上提供了兩份審計報告，這兩項審計都是在9月份完成的，分別由知名的安全公司Peckshield和HaechiLabs所提供。

首先，我點擊Peckshield審計的鏈接，然后我看到的是這個：

顯然，這不是什么好事。

我只花了3秒鐘就注意到URL是不正確的，以及“https://github.com…”之前的所有內容都應被刪除。

在繼續之前，讓我問你，作為一名非開發人員，你會在這里停下來放棄嗎？還是說，你會花點時間查看URL并嘗試找出問題所在？

我不知道這是否是Harvest團隊無意犯的錯誤，還是其故意阻止他人查看審計報告的一種方式。但是，我確實知道，用戶必須要勤奮地尋找他們需要的信息，以作出明智的決定-即使這些信息被隱藏了起來！

所以，我修改了URL，并得到了Peckshield的實際審計報告：https://github.com/harvest-finance/harvest/blob/master/audits/PeckShield-Harvest.pdf

看起來很嚇人，不是嗎？

好吧，不一定如此，你無需成為開發者即可查看審計報告，并獲得一些非常重要的，有關智能合約系統的線索。

打開審計報告時，我要做的第一件事，就是搜索提及管理密鑰或“治理”的內容。

這很容易就能找到。

讓我們看第42頁的內容，如你所見，Peckshield使用了通俗易懂的英語，其向讀者表明，Harvest項目的治理職責高度中心化且非常不穩定。

“當前由一個EOA賬戶所控制，這引起了社區的必要關注。”簡單說，Harvest項目的資金，完全是由一個單一的以太坊賬戶所控制的，它并不涉及什么DAO，也沒有多重簽名。

在審核結果中，Peckshield給出了一個表，其中所有的資金都是由同一個地址所控制

閱讀審計報告時，請務必記住，項目方通常要為審計公司支付費用，而當你在審計報告中看到類似這種表時，實際上代表審計公司在通知你，該項目實際存在一些非常真實的危險，審計公司希望在不完全激怒客戶的情況下盡可能地誠實。接下來，查看HaechiLabs的審計報告：https://github.com/harvest-finance/harvest/blob/master/audits/Haechi-Harvest.pdf

我再次掃描了目錄，然后看到了這個重要的提醒：

讓我們再仔細看看。

這意味著，這些智能合約中所持有的10億美元資金，開發者可隨時將它們轉移走。

管理密鑰對于DeFi來說并不是什么新現象，而且HarvestFinance并不是唯一使用它的項目。但是，對于一個掌握10億美金巨額資金的項目而言，管理密鑰的存在是令人感到害怕的。

因此，我問自己的下一個問題是：

“是誰擁有這個功能非常強大的管理密鑰？讓我們和那個人談談。”我回到了HarvestFinance網站和他們的Wiki頁面，然后找到了“常見問題”部分內容，這給了我答案。

不，上帝，請不要告訴我，這個掌握著11億美元資金管理密鑰的人竟然是一個匿名開發者。

上帝：對不起，這是事實。

該死的。

這個事實讓我感到震驚，10億美元由一個管理密鑰控制已經夠糟糕了，更糟糕的是，掌握這個密鑰的人是在未知國家/地區的陌生人，這一事實將其推向了另一個新高度。

所以，我要大聲告訴大家：

如你所見，我確實了解到，由于審計報告已經完成，Harvest匿名開發者添加了一個前面所提到的時間鎖，這是一個只有12個小時的時間鎖，它不足以為用戶提供提供安全保護。

在找到此信息之后，合理的下一步是嘗試從HarvestFinance社區和開發者那獲取更多的信息，但情況不是很好，我因為詢問誰持有管理密鑰而遭到語言攻擊。HarvestFinance團隊禁止我加入他們的Discord社區，并在Twitter上將我屏蔽。

現在，我不僅知道HarvestFinance所持有的資金處于非常危險和不安全的境地，而且我也知道他們的匿名開發者對質疑聲持抵制態度，這些對于投資者來說都是不利因素。

這種情況將來會改變嗎？如果有一天該項目的匿名開發者充分地分散了當前的管理密鑰，那么它可能再值得一看。

但在那之前呢？這是一個不可接觸的DeFi產品。

將以上這些步驟應用到你感興趣的每一個DeFi產品上，你將能夠作為一個非開發人員而生存下來，祝你好運！

Tags：VESESTVESTARVVEST幣ChesterCoinVestXCoinCARVE幣

火幣APP