2. 为什么Harvest.Finance项目满意了这些条件？
在Harvest.Finance这次的套利进攻事件中，进攻者通过影响USDC、USDT代币的价值来举办套利。
https://github.com/harvest-finance/harvest/blob/master/contracts/DelayMinter.sol1. 产生套利进攻的条件是什么？
活动性挖矿(Yield Farming)是近期DeFi规模中的最热话题，以各类食物为主题的活动性挖矿好像逐日都能凑成一桌饕餮盛宴，大爆炸式地将新的DeFi观念贯注给投资者与用户。
https://github.com/harvest-finance/harvest/blob/master/contracts/Governable.sol
2. 操作借贷所得USDT通过Curve转换为USDC，提高USDC价值 ；
Harvest.Finance，它的名字很是直观的说明白其设计意图 ——活动性挖矿。
本文在此以Harvest.Finance为例，，阐明作为活动性挖矿项目其存在的安详风险。
套利进攻是操作价值差举办低买高卖完成的以赢利为目标的生意业务行为。已经产生过套利进攻的著名项目有Balancer和bZx。
天天新的活动性挖矿项目城市呈现，同时旧项目也在退出人们的视野。对付这些项目“新人哪闻旧人哭”的快速瓜代，身为以成立康健安详生态为己任的CertiK，但愿给各人带来更有代价的问题和谜底：当我们在接头活动性挖矿项目安详性的时候，接头点和存眷点都应该是什么？
产生套利事件需要的条件其实很是直观：可以完成低买高卖。
5. 最终进攻者将持有额所有fUSDC转换回USDC，此时因为Curve中的USDC价值低落，导致影响了兑换回USDC的数目增加。
图4所示生意业务是在此次产生于Harvest.Finance项目标套利进攻的个中一笔生意业务，进攻者通过查察该项目智能合约中节制锻造fUSDC代币数目标函数，发明锻造的代币数目依赖于其参考的Curve项目标计较公式，继而依靠闪电贷得到大量初始资金举办套利进攻。
对付此类进攻，需要弄清两个问题：
活动性挖矿项目自身通过生意业务来铸币可能燃烧币的操纵，十分容易满意改变生意业务物的操纵要求。
https://etherscan.io/tx/0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877
通过调查代码可以相识到，该项目标管理与重要操纵的节制权都被项目打点者据有，中心化水平极高，而这一点明明违背了以去中心化为根基的活动性挖矿项目标本质。
该项目标代码已经开源，网站社区等也一应俱全。尽量Harvest.Finance的审计陈诉已发布，其项目中被审计部门的安详性今朝可以被信任，可是这并不能说明Harvest.Finance的整体安详性获得了保障。传统的代码审计并不适合包罗活动性挖矿在内的区块链项目。
安详这个话题难以简朴概述，非细致的讲授不能窥伺一二。
除了项目标管理中心化水平过高的通病，活动性挖矿项目同样存在被套利进攻的风险。
当接头一个活动性挖矿项目标安详性时，不该仅仅简朴的查察措施代码、智能合约的安详，而需要查察越发深层的、逻辑性的裂痕，譬喻管理中心化以及代币价值节制逻辑大概导致的套利进攻风险。
因此，项目代币价值不能简朴的依赖于其相对数目，而应该不变成立于及时、有效、靠得住的价值提供系统之上。譬喻今朝的chainlink的价值预言机便可以必然水平上办理此类隐患。
这种生意业务影响价值的手段可以是直接改变，也可以是改变生意业务物的数目来间接的影响价值。
即便项目打点者插手了一个延迟操纵的成果，并配置了每一个铸币操纵都需要提前发布给社区，这依旧无法从基础上办理问题。尤其是当Harvest.Finance项目把延迟的时间期限配置为12个小时，这也违背了大部门人的作息纪律。
迄今为止，CertiK已为高出200名机构用户提供了优质处事，掩护了高出80亿美元的数字资产与软件系统免受安详损失。https://github.com/harvest-finance/harvest/blob/master/contracts/Storage.sol
1. 闪电贷借贷获得大笔USDC和USDT；
3. 将得到的USDC存入Harvest.Finance项目标USDC蕴藏室(vault)中, 同时Harvest.Finance会为该存入的行为进攻者锻造必然数目标fUSDC(锻造的数目受Curve影响)；
参考链接：
CertiK安详研究团队从该项目智能合约出发，发明白该项目中存在与其他雷同活动性挖矿项目同样的问题：管理中心化，即很多要害操纵只答允项目打点者来举办，没有任何对项目限制者的限制手段，譬喻：
图1中第102行起的函数executeMint()的成果是举办铸币操纵，由于onlyGovernance的限制，使得只有于onlyGovernance许可的地点可以执行该函数，而onlyGovernance的界说来自于图2中14行与图3中27行的代码，最终从图3的28行可以看到所谓的“Governance”其实仅是指项目拥有者自己，并不是如名称所体现指代一个打点委员会。 参考链接：
参考链接：
进攻者的执行生意业务的流程大抵如下：
一旦套利进攻者发明白可操作的进攻点，可以在没有风险的环境下连忙操作闪电贷借取大额资金，将套利进攻的赢利扩大。
参考链接：
按照官方陈诉，计较了进攻者返还给项目标1300万USDC和11万USDT之后，总损失高出2亿人民币。
简化来说就是可以通过本身的生意业务可能操纵来影响生意业务物的价值。
面临此类项目，需要有履历富厚的区块链项目专业审计人员，从传统代码审计、逻辑审计、金融模子审计等多角度对项目标安详举办慢慢且完备的审核，才可确保项目标安详。
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
