墨汁マガジンVol.497「Harvest Financeの脆弱性詳細 DeFiで被害に合わないための鉄則」

イーサリアムDeFiの中で直近でTVLを伸ばしていたHarvest Financeは、Curve FinanceのYプールを利用した価格操作裁定攻撃を受けました。本稿ではこの攻撃を受けた理由やHarvest Financeコントラクトの脆弱性、問題点などについて詳しく解説を行います。

Harvest Financeへの攻撃概要は墨汁マガジン「図解で理解するHarvest Financeの価格操作裁定ドレイン攻撃の概要と流動性マイニングへの影響」を参照してください。

Curve Financeへの影響

Harvest Financeの攻撃者は、CurveのYプールでUSDTとUSDCを複数回に渡って売買しているため、流動性マイニングの報酬が跳ね上がっていることがわかります。攻撃を受けた10月26日、Yプールのデイリー流動性マイニングマイニングリターンは181%へ跳ね上がっていることがわかるでしょう。またこの日の取引量は284.3億ドルを記録しています。

出典：Curve Finance – Yプールの流動性マイニング報酬チャート

Uniswapへの影響

またUniswapへも大きな影響が出ており、Harvest Financeの攻撃者がドレインしたUSDCとUSDTをUniswapでマネーロンダリングし、ビットコインへとスワップしたことでETHUSDCプールとETHUSDTプールの出来高が急騰。流動性マイニングの報酬として約6.3億円もの利益を生み出しました。

流動性マイニングへのリスクはあったのか？

ここで気になるUniswapとCurveの流動性マイニングのリスクですが、インパーマネントロスを含めたリスクは