AD
第三季度NFT和市场类别行业报告：以太坊和WAX几乎占每日活跃钱包和交易量的100％
以太坊和WAX是NFT和市场类别的最大贡献者。
10月26日音讯，锁定资金量超10亿美圆的DeFi项目Harvest Finance被曝遭黑客进击，据称已形成约莫2400万美圆的丧失，很多参与者自称丧失了15%以上的资金，受此音讯影响，Harvest的治理代币FARM一度狂跌70%以上。
而Harvest项目方则宣告推文诠释称：
“此次进击和其他套利经济进击一样，缘于一笔大额的闪电贷，进击者屡次支配curve y池以提取fUSDT和fUSDC资金，随后将资金转换成renBTC，并退出为BTC。”
另外，Harvest项目方还示意：
“我们正致力于减轻对稳固币和BTC池的进击，一旦有更多细节可用，我们将会举行实时更新。” 而据DeFi之道供应的最新音讯显现，黑客以USDT和USDC的情势归还了约莫247.8万美圆的资金，约占到被盗资金量的10%，而Harvest项目方则示意随后会将这些资金归还给受影响的用户。DeFi社区炸锅，着名KOL提示用户应撤离Harvest
如今，关于此次Harvest进击的信息照旧异常有限，而DeFi社区的着名参与者则发出提示称，Harvest用户应尽快将其资金从该项目标合约中提掏出来。
停止发稿时，Harvest合约锁定的资金已骤降至5.9亿美圆，较24小时之前下滑42.41%。
而在此次进击发作的前一天，DeFi观察者Chris Blec则展现了Harvest项目所存在的庞大风险，其提到称，Harvest项目合约所锁定的10多亿美圆资金，完整受匿名开发者的控制，而且开发团队存在锐意遮盖这一现实的怀疑。
以下是译文内容：
DeFi的生长太快，要跟上它的节拍着实太难，纵然是我也是云云。
但这并不意味着我们没法保证平安，而且我们没必要成为开发者就可以做到这一点。
在这篇文章中，我将分享本身发明Harvest Finance存在高危治理密钥风险的步骤，而这一现实危及到了用户的资金。
就在昨天，当我检察DeFi Pulse，并看到排行榜中排名第四的项目Harvest Finance时，其锁定的资金量已超过了10亿美圆，但我发明本身对这个项目并不相识。
我第一次据说Harvest Finance，是他们为很多Gitcoin Grants参与者捐钱50,000美圆，当时其宣告这一音讯时，我确切有关注到它。
两天前，我倏忽注意到一条关于Harvest锁定资金量打破10亿美圆的推文。
看到这一点，我记下了要搜检的内容。Harvest是如今市场上浩瀚的收益农耕（yield farming）项目之一，我还没有时候去研讨每个，然则打破10亿美圆的项目，无疑会让我发生兴致。
我的第一站就是看他们的网站，找到它并不难，他们的官方Twitter引见里就有链接。
这是一个典范的收益农耕用户界面，在点击了一段时候后，我发明他们接收了多个代币存款，包含Uniswap LP代币，我入手下手想晓得，这个项目标去中间化水平到底有多高。
这一部份现实上异常主要，因为很少有DeFi用户会这么干。任何时候，当一个智能合约接收存款时，你起首要问的问题是“这个产物的去中间化水平怎样？资金是怎样被持有的？有治理密钥吗？假如有的话，它可以做什么？”
一旦这些问题涌如今你的脑海中，那你就须要在存款之前取得答案。假如你在没有答案的状况下就存款，那你就是在赌钱。
我入手下手点击他们的FAQ和Wiki标签，直到找到一些线索。起首，我看到Harvest的“技术资料”里提到了时候锁（timelock）。
如你所见，在“技术资料”中没有说起关于治理密钥的其他内容。
什么是时候锁（timelock）？它是一种智能合约，它为以太坊治理密钥挪用的任何生意业务增加耽误，从而让用户有时候搜检生意业务，并实时掏出本身的资金。
也就是说，假如没有某种密钥，那就基础用不到时候锁（timelock）。
所以当我看到时候锁（timelock）这个词，而技术资料中没有说起治理密钥或它可以做什么时，我晓得我必需更深切地观察这个项目。
在他们的Wiki页面上，我发明了一个名为“Harvest Security”的链接。一般，当你在DeFi产物网站上看到一个叫做“Security”的页面时，你一定会找到一些审计报告。而我确切也看到了。
Harvest Finance在其网站上供应了两份审计报告，这两项审计都是在9月份完成的，分别由着名的平安公司Peckshield和Haechi Labs所供应。
起首，我点击Peckshield审计的链接，然后我看到的是这个：
明显，这不是什么功德。
我只花了3秒钟就注意到URL是不正确的，以及“https://github.com…” 之前的一切内容都应被删除。
在继承之前，让我问你，作为一位非开发人员，你会在这里停下来摒弃吗？ 照样说，你会花点时候检察URL并尝试找出问题所在？
我不晓得这是不是是Harvest团队无意犯的毛病，照样其有意阻挠别人检察审计报告的一种体式格局（因为该毛病在两份审计报告中都有被说起）。然则，我确切晓得，用户必须要用功地寻觅他们须要的信息，以作出明智的决议-纵然这些信息被隐蔽了起来！
所以，我修改了URL，并取得了Peckshield的现实审计报告：https://github.com/harvest-finance/harvest/blob/master/audits/PeckShield-Harvest.pdf
看起来很吓人，不是吗？
好吧，不一定云云，你无需成为开发者即可检察审计报告，并取得一些异常主要的，有关智能合约体系的线索。
翻开审计报告时，我要做的第一件事，就是搜刮说起治理密钥（admin key）或“治理”（governance）的内容。
这很轻易就可以找到。
让我们看第42页的内容，如你所见，Peckshield使用了通俗易懂的英语，其向读者表明，Harvest项目标治理职责高度中间化且异常不稳固。
“ [治理]当前由一个EOA账户所控制，这引起了社区的必要关注。” 简单说，Harvest项目标资金，完整是由一个单一的以太坊账户所控制的，它并不触及什么DAO，也没有多重署名。
在考核效果中，Peckshield给出了一个表，个中一切的资金都是由同一个地点所控制
浏览审计报告时，请务必记着，项目方一般要为审计公司付出用度，而当你在审计报告中看到相似这类表时，现实上代表审计公司在关照你，该项目现实存在一些异常实在的风险，审计公司愿望在不完整激愤客户的状况下尽量地老实。接下来，检察Haechi Labs的审计报告：https://github.com/harvest-finance/harvest/blob/master/audits/Haechi-Harvest.pdf
我再次扫描了目次，然后看到了这个主要的提示：
让我们再细致看看。
这意味着，这些智能合约中所持有的10亿美圆资金，开发者可随时将它们转移走。
治理密钥关于DeFi来讲并非什么新征象，而且Harvest Finance并非唯一使用它的项目。然则，关于一个控制10亿美金巨额资金的项目而言，治理密钥的存在是使人觉得畏惧的。
因而，我问本身的下一个问题是：
“是谁具有这个功用异常壮大的治理密钥？让我们和那个人谈谈。” 我回到了Harvest Finance网站和他们的Wiki页面，然后找到了“常见问题”部份内容，这给了我答案。
不，天主，请不要通知我，这个控制着11亿美圆资金治理密钥的人竟然是一个匿名开发者。
天主：对不起，这是现实。
活该的。
这个现实让我觉得震动，10亿美圆由一个治理密钥控制已够蹩脚了，更蹩脚的是，控制这个密钥的人是在未知国度/区域的陌生人，这一现实将其推向了另一个新高度。
所以，我要高声通知人人：
如你所见，我确切相识到，因为审计报告已完成，Harvest匿名开发者增加了一个前面所提到的时候锁，这是一个只要12个小时的时候锁，它不足认为用户供应供应平安庇护。
在找到此信息以后，合理的下一步是尝试从Harvest Finance社区和开发者那猎取更多的信息，但状况不是很好，我因为询问谁持有治理密钥而遭到言语进击。Harvest Finance团队制止我到场他们的Discord社区，并在Twitter大将我屏障。
如今，我不仅晓得Harvest Finance所持有的资金处于异常风险和不平安的田地，而且我也晓得他们的匿名开发者对质疑声持抵抗立场，这些关于投资者来讲都是不利因素。
这类状况将来会转变吗？假如有一天该项目标匿名开发者充分地疏散了当前的治理密钥，那末它可能再值得一看。
但在那之前呢？这是一个不可打仗的DeFi产物。
将以上这些步骤运用到你感兴致的每个DeFi产物上，你将可以作为一个非开发人员而生存下来，祝你好运！
加入新手交流群：每天早盘分析、币种行情分析
添加助理微信，一对一专业指导：chengqing930520
上一篇：美联储和FinCEN草拟加密钱银新规则：约请民众宣布批评
加入新手交流群：每天早盘分析、币种行情分析，添加助理微信
一对一专业指导：chengqing930520
最新资讯
