09:30【Harvest Finance攻击事件全复盘：如何用20个ETH的成本撬动3000万美元收益？】
【Harvest Finance攻击事件全复盘：如何用20个ETH的成本撬动3000万美元收益？】
今天上午，DeFi聚合协议Harvest Finance针对闪电贷攻击发布声明。
根据公告，本次攻击损失共计3380万美元（此前媒体报道是400万美元），约占攻击发生前协议中锁仓总价值的3.2％；攻击者退回的247万多美元，将根据快照按比例分配给受影响的储户；未来Harvest Finance将对存款实行“提交-披露”机制，减少闪电贷攻击，使用预言机来确定资产价格，并提高存款arb配置(当前阈值设置为3%）。
昨天上午10点，推特用户爆料称，攻击者通过闪电贷依靠20 ETH的成本（手续费）在Curve协议y池进行套利获得无常损失，而Curve.fi Y池正是Harvest金库投资的地方。攻击者随后将资金转换为renBTC并套现，Harvest也因此损失数百万美元，不少参与者称损失了15%～20%以上的资金。
受此影响，Harvest Finance治理代币FARM价格从237美元一度暴跌至78美元，最大跌幅接近70%；截至今天发稿，FARM价格回升至110美元左右；Harvest协议锁仓量，也从11.1亿美元量已骤降至4.5亿美元，最大跌幅60%。
不过，Curve协议却并未受到影响，其治理代币CRV价格在过去24小时不断攀升，一度升至0.44 USDT，最大涨幅接近30%。
（1）事件回顾：闪电贷套利
Harvest Finance，是一个DeFi收益聚合器，其主要功能是向其它DeFi池提供流动性来为自己的流动性提供者赚取收益。在攻击发生前，Harvest Finance主要在Curve协议y池提供流动性。
攻击者是如何实现攻击，完成套利的？
先为大家捋一下本次攻击的逻辑，简单来说分三步，即「借贷-正向操作价格-逆向操纵价格」：
攻击者通过闪电贷借出大量USDT以及USDC；
在Y池将大量USDT兑换成USDC，导致USDC价格升高；由于Harvest池内USDC价格参考Y池，也跟着上涨；此时再用USDC在Harvest池兑换更多的fUSDC；
在Y池对上述过程逆向操作，将大量USDC兑换成USDT，导致USDC价格降低；此时Harvest池内USDC价格也跟着下降；再用fUSDC可以兑换出比原来更多的USDC，完成套利。
当然，为了使得链上交易能在极短的时间内进行，因此每笔交易都给足了手续费。
Harvest Finance公告介绍了完整的攻击链条：
通过以太坊匿名转账平台Tornado.cash转入20 ETH作为后续攻击手续费，攻击者钱包地址是0xf224ab004461540778a914ea397c589b677e27b，并部署了一个攻击合约0xc6028a9fa486f52efd2b95b949ac630d287ce0af。
通过Uniswap V2闪电贷借出巨额USDT（18,308,555.417594）与USDC（5000万），注入攻击合约中；
（注释：闪电贷要求借款和还款在"一个交易"中完成，否则就撤回借贷资金，攻击者正是利用了这段空白时间，完成了套利交易；闪电贷套利也是目前较为普遍的一种方式。）
该合约在Curve协议Y池内通过互换协议将17222012.640506 USDT兑换成了USDC。互换的影响是，由于其它资产发生了无常损失，Y池内的USDC价值升高，获得了17216703.208672 USDC；此时，攻击者加上之前闪电贷款的本金，攻击持有约6721万USDC、108.65万的USDT。
攻击者将49,977,468.555526 USDC存入Harvest的USDC金库，按照单价fUSDC/USDC=0.97126080216，兑换了51,456,280.788906 fUSDC。攻击前单价为0.980007，现在单价0.9712环比下降大约1%，并没有触发Harvest套利策略设置的3%红线，因此交易有效且成功进行，没有被强制恢复。
攻击者通过y池，将剩余的17239234.653146 USDC兑换回17,230,747.185604 USDT；由于无常损失效应的恢复，此时Y池中USDC价值下降，攻击者获得17,230,747.185604 USDT。
攻击者从Harvest的USDC金库中提币，由于此时Y池内的USDC价值下降，fUSDC/USDC单价升高至0.98329837664，攻击者将此前全部的fUSDC（约5145万）的股份交换回了50596877.367825 USDC。并且，USDC完全由Harvest的USDC金库支付，完全不与Y池交互，也就不会影响Y池内USDC价格。
经过这么一次套利，攻击者的净利润（不包括闪电贷借贷费用）为619408.812299 USDC。而后，攻击者同一笔交易中重复了几次该过程。
在4分钟内，攻击者针对USDC金库执行了17笔攻击交易后，而后有用类似的方式对USDT金库发起攻击，并在3分钟内完成了13笔攻击交易。
北京时间10月26日11:01:48，攻击者将13,000,000 USDC和11,000,000 USDT从攻击合约中转移至地址0x3811765a53c3188c24d412daec3f60faad5f119b。
事件曝光后，攻击者向Harvest返还了部分资金，共计1761898.396474 USDC和718,914.048541 USDT。
攻击发生后，不少人在Harvest推特下留言称，损失了15%-20%的资金。众多KOL也建议用户先将资金从Harvest提出，以确保资金安全。
根据Harvest统计，用户损失情况不容乐观：USDC金库单价从0.980007跌至0.834953，USDT金库单价从0.978874跌至0.844812，跌幅分别为13.8％和13.7％；总计损失的价值约为3380万美元，约占攻击发生前协议中锁仓总价值的3.2％。
（2）官方态度：补救之外，攻击者还钱就行
事故发生后，Harvest团队发文表示，为了保护用户，已经采取措施阻止向稳定币和BTC金库存款，现有存款将继续赚取FARM。
根据今天上午公告，Harvest已经从共享池中撤出所有资金，包括DAI、USDC、USDT、TUSD以及WBTC和renBTC。这些资金目前存放在金库中，不会受到进一步的市场操纵。另外，这次攻击没有涉及到DAI、TUSD、WBTC和renBTC，这些金库的储户没有受到影响。
另外，关于用户补偿方面，Harvest表示，攻击者退回的247万多美元，将通过快照按比例分配给受影响的储户,其他补救方法将在治理中进行分析和表决。
此次事故，也暴露了Harvest系统机制所存在的弊病。
慢雾安全团队分析认为，此次攻击主要是fToken（fUSDC、fUSDT等）在铸币时采用的是Curve y池中的报价，导致攻击者可以通过巨额兑换操控预言机的价格来控制fToken的铸币数量。
针对报价问题，Harvest下一步将使用预言机来确定资产价格。
“虽然一个近似的资产价格可有效地从外部预言机（由Chainlink或Maker提供）中确定，但是它与实际价格的联系非常松散。如果底层DeFi协议内的资产价值与预言机报价不同，金库将面临自由套利和闪电贷攻击。这不是Harvest的解决方案，但是，在系统设计和可能的缓解策略中，我们将考虑使用预言机。”
并且，未来Harvest Finance将对存款实行“提交-披露”机制，减少闪电贷攻击，提高存款arb配置(当前阈值设置为3%）。此外，Harvest Finance原定于10月27日发布的智能合约改进计划也将被推迟，以便在攻击背景下再次评估其安全性。
对于攻击者，Harvest Finance公布了相关涉案地址，并发文表示，“除了持有被盗资金的BTC地址，我们现在还获取了大量关于攻击者的个人身份信息，他在加密社区颇为有名。”
不过，Harvest Finance似乎无意追查攻击者的身份信息。
“我们对公开攻击者个人信息不感兴趣，我们尊重你的技术和独创性，只要你把钱返还给用户。攻击者已经证明了他们的观点。如果他们能把这笔钱返还给用户，将会受到社会各界的高度赞赏，将资金返还给受影响的用户是重点。”
在公告中，Harvest Finance表示：
我们向第一个帮助我们找回资金的个人或团队提供10万美元的赏金。
如果是在接下来的36小时内完成退还，则赏金为40万美元。请不要在这个过程中人肉搜索攻击者，我们强烈建议将所有努力集中在确保用户资金成功返还给部署人员上。
由于攻击者一直在通过RenBTC进行变现。截止发稿时，Harvest Finance官方已宣布通过与RenProtocol合作，获取相关RenBTC提现地址，并公布了通过RenProtocol导出的BTC地址，现在正在寻求币安、火币、OKEx和Coinbase等交易平台的帮助，希望可以冻结相关地址。
（3）深陷负面舆论的Harvest Finance
由于Harvest Finance对待攻击者态度较为「暧昧」，不少声音认为官方监守自盗，上演了一出贼喊捉贼的大戏。
加密KOL Bitcoin发出质疑：
事实上没什么事能比直接抢用户本金更赚钱，FARM总市值就2500万，项目方20%的币，即便所有币卖完也就赚500万，赚千把万是极限了，而搞这么一出收益几千万。结合项目方对这件事的处理方案，我觉得确实不小的概率项目方监守自盗，所以他们肯定不会把自己搞来的钱在拿去填这个坑；
黑客冒着风险，只盗取了几千万美元却没有直接把上亿的池子全部榨干，明显是不想让项目死掉，和团队的利益是一致的；
有投资者在推上问能不能拿部分团队的币来补偿受害者，Harvest回答资金数额太大了，自己不能承担。事实上大家都清楚赔不赔和能不能赔得起是两回事，这个团队压根不想赔；
据投资者称，此前社区里的投资者不断地在反应fusd被套利净值不断下跌的情况，但团队一个多月面对这情况始终视而不见，任由“黑客”套利。
这并不是Harvest Finance第一次深陷舆论危机。
就在套利攻击前两天，DeFi观察者Chris Blec就揭示了风险：该项目合约锁定的10多亿美元资金完全受匿名开发者的控制，并且开发团队存在刻意隐瞒这一事实的嫌疑。
CoinTelegraph援引安全团队Haechi审计报告报告称，Harvest Finance拥有一个管理密钥，可让持有者随意铸造代币并窃取用户的资金，该管理密钥可能由该项目背后的匿名开发者持有。
币印潘志彪表示，Harvest没有进入币印DeFi理财，最大的原因就是没有通过币印的风控，他们理论上甚至可以挪用客户资金，因为缺乏必要的Timelock、多签管理等保护措施，他们为提高资金使用效率，采用快速生效策略机制，但极大牺牲了安全性。
作为对外界质疑的回应，Harvest Finance在合约中引入了一个12小时的时间锁功能，但依然未能打消用户质疑。
经历了此次攻击风波，Harvest Finance链上锁仓量也从11.1亿美元量已骤降至4.5亿美元，最大跌幅60%。
16:49【灰度报告：大众对比特币投资兴趣较2019年增长19％】
【灰度报告：大众对比特币投资兴趣较2019年增长19％】
加密投资公司灰度最近发布了《2020年比特币投资者研究》报告。这份报告使用的数据来自一项在6月至7月间对大量美国人进行的数字调查。灰度发现，大多数接受调查的人都热衷于购买比特币（BTC）。
灰度在2020年10月的报告中写道：“到2020年，超过一半（55％）的调查受访者表示对比特币投资产品感兴趣。与2019年36％的投资者表示感兴趣相比，这明显增加了。”
灰度报告中的数字来自研究公司8 Acre Perspective收集的数据。该公司向1000名美国人询问了他们是否有兴趣投资比特币。接受数字调查的人群年龄从25岁到64岁之间，家庭最低收入为50000美元，投资最低资本为10000美元。
同样，灰度的2019年报告使用了1100名美国人的数据，这些数据是2019年3月和4月在相同的投资额和年龄参数下进行调查的。
灰度的2020年报告详细指出：“在那些报告称投资比特币的人中，有83％的人在去年进行了投资，这表明数字货币在现代投资组合中越来越有吸引力。
报告的调查结果表明，比特币在美国的受欢迎程度有所提高。根据今年的调查，潜在的比特币投资者市场规模为3200万，而一年前仅为2100万。
“今年，62％的投资者表示他们'熟悉'比特币，而2019年这一比例为53％。此外，近一半的受访者预测，再过十年，数字货币将被视为主流货币。”
该报告还指出，对比特币感兴趣的各方与主流市场参与者相似，尽管热衷于购买比特币的人平均年龄要小7岁左右。
此外，该报告指出，对比特币的兴趣与新冠肺炎大流行之间存在相关性。
16:13【优先考虑内部人员的代币分配方案能成为以太坊杀手吗？】
【优先考虑内部人员的代币分配方案能成为以太坊杀手吗？】
Mythos Capital创始人Ryan Sean Adams将优先考虑内部人员的初始代币分配方案称为“不起作用的”以太坊杀手。
Adams指的是最近的一份Messari报告，该报告总结了过去几年中推出的一些最受欢迎的以太坊（ETH）替代品的代币分配情况。主要有四个分配方式：公开预售，社区分配，内部人员以及每个项目各自的基金会。
这份报告的作者建议，在评估项目时，分配给内部人员（包括团队，公司和风险投资人）的代币比例至关重要，“以损害社区的利益为代价向内部人员（团队，创始人和风险投资人）分配代币的项目将使自己处于劣势。”他们还对比了这些其它项目和以太坊的代币分配情况：
“以太坊之所以能够成功，是因为它使早期的投资者变得富有。但是它之所以蓬勃发展，是因为早期的贡献者数量很大。”
此外，作者表示，所有这些区块链（除了Kadena和Nervos Network外）都采用了权益证明共识，他们认为这只会使问题恶化：
“在以太坊发行后，重新平衡内部人与社区网络所有权的比例是一项艰巨的任务，对于权益证明（PoS）网络而言，这可能会更加困难，因为早期的利益相关者一直对铸币权拥有要求权”
该报告指出，例如，Placeholder Capital更偏向将代币供应量的20％到30％分配给项目内部人员的项目。上图提到的十二个平台的平均值为43％，只有Kadena和Edgeware满足指定标准。
长期以来，人们一直在讨论确保新的加密货币项目公平启动的方法。尽管Messari和Adams似乎赞扬以太坊，但比特币主义者很快会指出，以太坊的大部分已被预挖出来了。其他人可能会认为中本聪在一个几乎没有竞争的环境中成功挖到了一笔比特币财富。
在这种情况下，问题更多地在于确定哪种分配类型可以为项目提供最佳的结果。大量分配给内部人员会有机会成本。这些代币可以用来激励社区。此外，内部人员通常会免费获得或以大幅折扣获得代币，这使他们能够提前出售代币，从而压低价格。整个代币经济的主题是相当新颖的，几乎没有经验数据或学术研究。这使得出有意义的结论变得困难，并且可能受到主观的解释所影响。
15:51【英国央行金融科技主管Tom Mutton：央行尚未决定推出CBDC】
【英国央行金融科技主管Tom Mutton：央行尚未决定推出CBDC】
在10月25日举行的第二届外滩峰会上，英国央行金融科技总监Tom Mutton表示，虽然央行数字货币（CBDC）是英国央行的“关注点”，但是央行于今年3月采取的立场没有改变。
Mutton说：“我们尚未决定是否推出零售型CBDC。”“但是我们正在饶有兴趣地探索它的利弊。”
这位英国央行高管具体表明，英国央行正在研究被冠状病毒危机影响的英国人的支付方式，“以向购物者和商家提供安全、高效和便捷的支付方式”，而CBDC可能会实现这一目标。他补充说，就零售型CBDC的隐私性而言，它是“仅限本人使用的”，并且“对货币和金融稳定性必须是‘无害的’，”银行发行的任何数字货币“必须能够与银行纸币和商业银行货币共存并互补”。
Mutton认为，央行发行CBDC所面临的挑战包括促进其他形式的货币之间的竞争和创新、确保技术不会“决定政策”以及与其他机构合作以寻求解决方案。
Mutton说：“我们不能‘单独行动’。鉴于CBDC表现出来的问题广泛，中央银行需要与广泛的利益相关者合作。”
Mutton的言论与英国央行其他领导者达成一致。7月，英国央行行长Andrew Bailey表示，英国央行正在研究发行由法定货币支持的数字货币的可能性。但是，Bailey也对诸如比特币（BTC）之类的加密货币持批评态度，称它们缺乏“内在价值”。
13:13【Galaxy Digital首席执行官：比特币的投资风险越来越低】
【Galaxy Digital首席执行官：比特币的投资风险越来越低】
10年前，向比特币投入大笔资金伴随着巨大的不确定性。现在，根据前对冲基金经理Novogratz的说法，比特币的投资风险越来越低。
MicroStrategy等大型主流参与者最近已开始向比特币投入大量资金，使该资产作为一种可行投资正常化。
银河数字(Galaxy Digital)首席执行官Mike Novogratz在10月27日的推文中称，“从风险调整的角度来看，如今比特币的风险每天都在降低。”
虽然MicroStrategy在近几个月购买了价值超过4亿美元的BTC，但它并不是比特币大军中唯一的巨头。
Twitter首席执行官杰克·多尔西的公司Square最近购买了价值5000万美元的比特币。
亿万富翁Paul Tudor Jones在2020年5月披露了他的比特币持有量后，将这笔资产比作在苹果公司兴起前的一笔投资。
尽管比特币最初被设计为货币的一种替代形式，但近年来，作为价值存储和投资选择，比特币越来越流行。
Novogratz在10月23日发布的彭博电视(Bloomberg TV)采访中表示：“我认为比特币在未来五年的任何时候都不会被用作交易货币。”
“比特币正被用作价值储存，”他补充道。“人们担心世界各地的央行降低法定货币的价值。”
例如，在2020年新冠肺炎大流行期间，美国政府大量印制了本国货币，并采取了最终可能会降低美元整体价值的行动。
11:31【私人加密货币“大量涌现”，肯尼亚中央银行开始研究CBDC】
【私人加密货币“大量涌现”，肯尼亚中央银行开始研究CBDC】
据报道，肯尼亚中央银行（CBK）已开始与各国的中央银行进行讨论，以探索进入央行数字货币领域的可能性。
CBK行长Patrick Njoroge博士在乔治敦数字会议金融科技周期间告诉记者：
“我们（CBK）正在以各种方式围绕央行数字货币的引入与其他全球参与者进行讨论。私人加密货币如雨后春笋般涌现，我们已经感到被排斥在外，我们需要创造自己的领域。”
根据Njoroge博士的观点，肯尼亚央行需要密切关注私人加密货币正在争夺的“商机”。Njoroge特别提到洗钱和非法活动筹资是CBK的主要关切点。但是，他似乎不太相信全球趋势正在朝着一个真正的无现金社会迈进，他将社会的发展趋势描述为仅仅倾向于“现金使用较少”的环境。
Njoroge博士明确提到了正在进行的全球研究，即CBDC如何从原则上向公众开放，全球性的CBDC研究似乎使中央银行授权的数字货币处于与去中心化加密货币的显性竞争中。
CBK行长还表达了对比特币（BTC）的相当不屑一顾的看法，称比特币只是投机工具。当他发现比特币的基础技术惊人时，他认为比特币仍然是一项寻找问题来解决的发明。
随着加密货币交易在非洲兴起，非洲本地的加密企业家正以谨慎的乐观态度为可能的更强有力的监管做准备。2020年9月，肯尼亚交易所Bitpesa的Stephany Zoo告诉Cointelegraph，虽然存在高压的扼杀性干预风险，但与传统金融基础设施更好的整合也可能会推动加密领域的发展。
09:56【欧洲离主权数字货币有多远】
【欧洲离主权数字货币有多远】
欧洲央行10月2日正式发布关于可能发行数字货币的综合报告，并于12日启动针对数字欧元的公共咨询。欧洲央行之所以加紧筹备数字欧元，一方面因为欧盟正在推进经济社会数字化转型，并将数字欧元作为重点战略进行了顶层设计，主权数字货币无疑将是今年年初公布的《欧洲数据战略》一个具体着力点。
另一方面，在多国央行加速布局数字货币的背景下，再加上来自美国脸书公司的Libra等非主权数字货币项目的竞争压力，欧洲央行的紧迫感与日俱增。
德国银行业协会主席汉斯·彼得斯表示，如果欧洲错过了央行数字货币创新的机遇，其货币主权可能落入私营企业或其他国家手中。
数字欧元契合了欧盟数字化转型与提升欧元国际地位的双重需要，但目前仍处于征求意见和内部测试阶段。按照计划，欧洲央行理事会将在2021年年中决定是否启动数字欧元项目。
数字欧元应该简单、无风险、可靠且整个欧元区都能接受。在设计上，数字欧元必须易于理解、易于使用、易于转移。但实现上述目标并不容易。欧洲央行执行委员会委员法比奥·帕内塔说，引入数字欧元必须解决相关法律、技术和政策问题。其中，法律上需要确保数字欧元拥有法定货币地位，而技术上的挑战主要与信息技术和网络风险有关。
民众对数字货币的接受度至关重要，而这恰是掣肘数字欧元发展的关键。欧洲社会高度重视数据隐私，相关法律越来越严。同时，新的数字化应用在欧洲的普及和迭代速度相对较慢。主权数字货币短期内要在欧元区国家得到广泛认可恐怕很难。
当前，面对新冠疫情和经济复苏挑战，欧盟各成员国似乎对数字欧元意兴阑珊。尽管战略方向日渐明晰，但欧洲离启用主权数字货币仍较远，频繁的咨询、磋商和争论难以避免。
法兰克福金融与管理学院教授菲利普·桑德纳估计，未来欧洲央行将只印刷总货币供应量的一部分，另一部分将以数字形式发行，“但这种情况预计最早得等到2026年”。
09:30【Harvest Finance攻击事件全复盘：如何用20个ETH的成本撬动3000万美元收益？】
【Harvest Finance攻击事件全复盘：如何用20个ETH的成本撬动3000万美元收益？】
今天上午，DeFi聚合协议Harvest Finance针对闪电贷攻击发布声明。
根据公告，本次攻击损失共计3380万美元（此前媒体报道是400万美元），约占攻击发生前协议中锁仓总价值的3.2％；攻击者退回的247万多美元，将根据快照按比例分配给受影响的储户；未来Harvest Finance将对存款实行“提交-披露”机制，减少闪电贷攻击，使用预言机来确定资产价格，并提高存款arb配置(当前阈值设置为3%）。
昨天上午10点，推特用户爆料称，攻击者通过闪电贷依靠20 ETH的成本（手续费）在Curve协议y池进行套利获得无常损失，而Curve.fi Y池正是Harvest金库投资的地方。攻击者随后将资金转换为renBTC并套现，Harvest也因此损失数百万美元，不少参与者称损失了15%～20%以上的资金。
受此影响，Harvest Finance治理代币FARM价格从237美元一度暴跌至78美元，最大跌幅接近70%；截至今天发稿，FARM价格回升至110美元左右；Harvest协议锁仓量，也从11.1亿美元量已骤降至4.5亿美元，最大跌幅60%。
不过，Curve协议却并未受到影响，其治理代币CRV价格在过去24小时不断攀升，一度升至0.44 USDT，最大涨幅接近30%。
（1）事件回顾：闪电贷套利
Harvest Finance，是一个DeFi收益聚合器，其主要功能是向其它DeFi池提供流动性来为自己的流动性提供者赚取收益。在攻击发生前，Harvest Finance主要在Curve协议y池提供流动性。
攻击者是如何实现攻击，完成套利的？
先为大家捋一下本次攻击的逻辑，简单来说分三步，即「借贷-正向操作价格-逆向操纵价格」：
攻击者通过闪电贷借出大量USDT以及USDC；
在Y池将大量USDT兑换成USDC，导致USDC价格升高；由于Harvest池内USDC价格参考Y池，也跟着上涨；此时再用USDC在Harvest池兑换更多的fUSDC；
在Y池对上述过程逆向操作，将大量USDC兑换成USDT，导致USDC价格降低；此时Harvest池内USDC价格也跟着下降；再用fUSDC可以兑换出比原来更多的USDC，完成套利。
当然，为了使得链上交易能在极短的时间内进行，因此每笔交易都给足了手续费。
Harvest Finance公告介绍了完整的攻击链条：
通过以太坊匿名转账平台Tornado.cash转入20 ETH作为后续攻击手续费，攻击者钱包地址是0xf224ab004461540778a914ea397c589b677e27b，并部署了一个攻击合约0xc6028a9fa486f52efd2b95b949ac630d287ce0af。
通过Uniswap V2闪电贷借出巨额USDT（18,308,555.417594）与USDC（5000万），注入攻击合约中；
（注释：闪电贷要求借款和还款在"一个交易"中完成，否则就撤回借贷资金，攻击者正是利用了这段空白时间，完成了套利交易；闪电贷套利也是目前较为普遍的一种方式。）
该合约在Curve协议Y池内通过互换协议将17222012.640506 USDT兑换成了USDC。互换的影响是，由于其它资产发生了无常损失，Y池内的USDC价值升高，获得了17216703.208672 USDC；此时，攻击者加上之前闪电贷款的本金，攻击持有约6721万USDC、108.65万的USDT。
攻击者将49,977,468.555526 USDC存入Harvest的USDC金库，按照单价fUSDC/USDC=0.97126080216，兑换了51,456,280.788906 fUSDC。攻击前单价为0.980007，现在单价0.9712环比下降大约1%，并没有触发Harvest套利策略设置的3%红线，因此交易有效且成功进行，没有被强制恢复。
攻击者通过y池，将剩余的17239234.653146 USDC兑换回17,230,747.185604 USDT；由于无常损失效应的恢复，此时Y池中USDC价值下降，攻击者获得17,230,747.185604 USDT。
攻击者从Harvest的USDC金库中提币，由于此时Y池内的USDC价值下降，fUSDC/USDC单价升高至0.98329837664，攻击者将此前全部的fUSDC（约5145万）的股份交换回了50596877.367825 USDC。并且，USDC完全由Harvest的USDC金库支付，完全不与Y池交互，也就不会影响Y池内USDC价格。
经过这么一次套利，攻击者的净利润（不包括闪电贷借贷费用）为619408.812299 USDC。而后，攻击者同一笔交易中重复了几次该过程。
在4分钟内，攻击者针对USDC金库执行了17笔攻击交易后，而后有用类似的方式对USDT金库发起攻击，并在3分钟内完成了13笔攻击交易。
北京时间10月26日11:01:48，攻击者将13,000,000 USDC和11,000,000 USDT从攻击合约中转移至地址0x3811765a53c3188c24d412daec3f60faad5f119b。
事件曝光后，攻击者向Harvest返还了部分资金，共计1761898.396474 USDC和718,914.048541 USDT。
攻击发生后，不少人在Harvest推特下留言称，损失了15%-20%的资金。众多KOL也建议用户先将资金从Harvest提出，以确保资金安全。
根据Harvest统计，用户损失情况不容乐观：USDC金库单价从0.980007跌至0.834953，USDT金库单价从0.978874跌至0.844812，跌幅分别为13.8％和13.7％；总计损失的价值约为3380万美元，约占攻击发生前协议中锁仓总价值的3.2％。
（2）官方态度：补救之外，攻击者还钱就行
事故发生后，Harvest团队发文表示，为了保护用户，已经采取措施阻止向稳定币和BTC金库存款，现有存款将继续赚取FARM。
根据今天上午公告，Harvest已经从共享池中撤出所有资金，包括DAI、USDC、USDT、TUSD以及WBTC和renBTC。这些资金目前存放在金库中，不会受到进一步的市场操纵。另外，这次攻击没有涉及到DAI、TUSD、WBTC和renBTC，这些金库的储户没有受到影响。
另外，关于用户补偿方面，Harvest表示，攻击者退回的247万多美元，将通过快照按比例分配给受影响的储户,其他补救方法将在治理中进行分析和表决。
此次事故，也暴露了Harvest系统机制所存在的弊病。
慢雾安全团队分析认为，此次攻击主要是fToken（fUSDC、fUSDT等）在铸币时采用的是Curve y池中的报价，导致攻击者可以通过巨额兑换操控预言机的价格来控制fToken的铸币数量。
针对报价问题，Harvest下一步将使用预言机来确定资产价格。
“虽然一个近似的资产价格可有效地从外部预言机（由Chainlink或Maker提供）中确定，但是它与实际价格的联系非常松散。如果底层DeFi协议内的资产价值与预言机报价不同，金库将面临自由套利和闪电贷攻击。这不是Harvest的解决方案，但是，在系统设计和可能的缓解策略中，我们将考虑使用预言机。”
并且，未来Harvest Finance将对存款实行“提交-披露”机制，减少闪电贷攻击，提高存款arb配置(当前阈值设置为3%）。此外，Harvest Finance原定于10月27日发布的智能合约改进计划也将被推迟，以便在攻击背景下再次评估其安全性。
对于攻击者，Harvest Finance公布了相关涉案地址，并发文表示，“除了持有被盗资金的BTC地址，我们现在还获取了大量关于攻击者的个人身份信息，他在加密社区颇为有名。”
不过，Harvest Finance似乎无意追查攻击者的身份信息。
“我们对公开攻击者个人信息不感兴趣，我们尊重你的技术和独创性，只要你把钱返还给用户。攻击者已经证明了他们的观点。如果他们能把这笔钱返还给用户，将会受到社会各界的高度赞赏，将资金返还给受影响的用户是重点。”
在公告中，Harvest Finance表示：
我们向第一个帮助我们找回资金的个人或团队提供10万美元的赏金。
如果是在接下来的36小时内完成退还，则赏金为40万美元。请不要在这个过程中人肉搜索攻击者，我们强烈建议将所有努力集中在确保用户资金成功返还给部署人员上。
由于攻击者一直在通过RenBTC进行变现。截止发稿时，Harvest Finance官方已宣布通过与RenProtocol合作，获取相关RenBTC提现地址，并公布了通过RenProtocol导出的BTC地址，现在正在寻求币安、火币、OKEx和Coinbase等交易平台的帮助，希望可以冻结相关地址。
（3）深陷负面舆论的Harvest Finance
由于Harvest Finance对待攻击者态度较为「暧昧」，不少声音认为官方监守自盗，上演了一出贼喊捉贼的大戏。
加密KOL Bitcoin发出质疑：
事实上没什么事能比直接抢用户本金更赚钱，FARM总市值就2500万，项目方20%的币，即便所有币卖完也就赚500万，赚千把万是极限了，而搞这么一出收益几千万。结合项目方对这件事的处理方案，我觉得确实不小的概率项目方监守自盗，所以他们肯定不会把自己搞来的钱在拿去填这个坑；
黑客冒着风险，只盗取了几千万美元却没有直接把上亿的池子全部榨干，明显是不想让项目死掉，和团队的利益是一致的；
有投资者在推上问能不能拿部分团队的币来补偿受害者，Harvest回答资金数额太大了，自己不能承担。事实上大家都清楚赔不赔和能不能赔得起是两回事，这个团队压根不想赔；
据投资者称，此前社区里的投资者不断地在反应fusd被套利净值不断下跌的情况，但团队一个多月面对这情况始终视而不见，任由“黑客”套利。
这并不是Harvest Finance第一次深陷舆论危机。
就在套利攻击前两天，DeFi观察者Chris Blec就揭示了风险：该项目合约锁定的10多亿美元资金完全受匿名开发者的控制，并且开发团队存在刻意隐瞒这一事实的嫌疑。
CoinTelegraph援引安全团队Haechi审计报告报告称，Harvest Finance拥有一个管理密钥，可让持有者随意铸造代币并窃取用户的资金，该管理密钥可能由该项目背后的匿名开发者持有。
币印潘志彪表示，Harvest没有进入币印DeFi理财，最大的原因就是没有通过币印的风控，他们理论上甚至可以挪用客户资金，因为缺乏必要的Timelock、多签管理等保护措施，他们为提高资金使用效率，采用快速生效策略机制，但极大牺牲了安全性。
作为对外界质疑的回应，Harvest Finance在合约中引入了一个12小时的时间锁功能，但依然未能打消用户质疑。
经历了此次攻击风波，Harvest Finance链上锁仓量也从11.1亿美元量已骤降至4.5亿美元，最大跌幅60%。
08:27【中国人民银行法迎修订为发行数字货币提供法律依据】
【中国人民银行法迎修订为发行数字货币提供法律依据】
记者从中国人民银行网站获悉，人民银行积极推进《中华人民共和国中国人民银行法》修改工作，起草了《中华人民共和国中国人民银行法（修订草案征求意见稿）》，现向社会公开征求意见。
《征求意见稿》包括总则、组织机构、人民币、业务、监督管理职责、监督管理措施、财务会计、法律责任和附则，共9章73条。值得注意的是，此次《征求意见稿》完善了人民币管理规定。关于《中华人民共和国中国人民银行法（修订草案征求意见稿）》的说明指出，《征求意见稿》规定人民币包括实物形式和数字形式，为发行数字货币提供法律依据；防范虚拟货币风险，明确任何单位和个人禁止制作和发售数字代币。
数字人民币（DC/EP）正在内部封闭测试，引发公众高度关注，而其发行需要更为明确的法律依据。中国人民银行副行长范一飞9月曾撰文指出，数字人民币的研发发行基本符合我国法律框架。同时，数字人民币具有数字化特征，并不完全适用实物现金流通监管规则，需拟定专门针对数字人民币的监管要求，做好数字人民币流通环境建设，同时随着数字人民币发行流通体系逐步成熟，及时完善相应法律法规。
除此之外，《征求意见稿》还完善了货币政策工具箱，适度增加货币政策工具的灵活性，保证货币政策调控科学合理有效。为填补宏观审慎政策的制度空白，《征求意见稿》建立宏观审慎政策框架，明确宏观审慎政策目标，以加强逆周期调节和穿透式监管为重点，健全金融机构逆周期资本缓冲、风险准备金、压力测试等宏观审慎政策工具箱。除此之外，为进一步发挥人民银行维护金融稳定和防范、处置系统性金融风险的作用，《征求意见稿》规定了人民银行对金融体系整体的稳健性状况进行监测评估，牵头防范和化解系统性金融风险；建立明确的金融风险处置责任体系，完善系统性金融风险处置措施，包括监督问题机构实施自救、对债权人依法实施债务减记、提供流动性支持、设立特殊目的实体等。
17:52【区块链真会导致传统商业银行消亡吗？】
【区块链真会导致传统商业银行消亡吗？】
摩根大通资深交易员、CoinShares执行主席丹尼尔·马斯特斯（Daniel Masters）近日接受《福布斯》采访时表示区块链技术有可能导致商业银行消亡，尤其是在全球金融危机导致商品超级周期结束后，加密货币和区块链的巨大潜力得以释放，给传统金融行业带来了不少创新。
丹尼尔·马斯特斯第一份工作在壳牌石油公司，之后来到华尔街知名投行所罗门兄弟（Salomon Brothers），最终成为摩根大通最知名的交易员之一。1999年，丹尼尔·马斯特斯已经手握两个大型对冲基金，之后便押注中国市场发展并获得了成功，当时由于国内需要消费大量商品，给丹尼尔·马斯特斯提供了巨大商机也助其挖掘到了“第一桶金”，因为那时候石油价格仅为每桶10美元，铜价格只有每磅2美元，黄金价格更是低到每盎司1300美元，所有这些商品价格在随后的几年中都上涨了。但从2012年开始大宗商品繁荣周期结束，美联储的量化宽松政策也导致传统资产价值缩水。
丹尼尔·马斯特斯认为比特币的本质上提供了一个没有复制/粘贴功能的互联网版本，但想要真正进入比特币行业并不容易，首先，相比于传统商品，阐明比特币的投资论点要困难得多；其次，比特币行业早期的确存在很多骗局，也让人们对比特币产生了更多怀疑。对于提供加密货币服务的企业来说，需要消除客户对他们所投资的信托框架产品的疑虑。
那么三年后加密货币世界会如何发展呢？答案可能是央行数字货币，如今各国中央银行都在探索发行自己的数字货币。央行数字货币有很大潜力，让你不必亲自“触摸”或移动货币就可以打击黑市和腐败，还能提供实时会计功能，但如果你从金融系统中取出实物现金可能被强制实施负利率。现阶段，全球有八家中央银行已经准备发行央行数字货币，其中最值得关注的是中国和巴哈马两个国家，而数字人民币显然更为重要。央行数字货币世界里有许多值得关注的动态，比如数字人民币会变得更加强大，美国则将被迫做出反应，要么以数字美元形式，要么以贸易战形式。
毫无疑问，央行数字货币会对商业银行和整个金融体系产生影响。在传统金融系统里，美联储向摩根大通和美国银行等众多商业银行发行货币，商业银行直接与终端客户打交道并主要做两件事：开发抵押贷款产品和提供抵押贷款服务。但在央行数字货币世界里，商业银行可能将不复存在，服务层其实已经诞生出一批去中心化金融协议，比如Compound Fiance、Uniswap、Sushiswap等。以去中心化P2P借贷服务Compound Finance为例，他们管理的资金已经达到数十亿美元，而且在区块链上让借贷业务变得更透明、远程和自治，效果甚至比花旗银行做的更好，就像流媒体服务提供商奈飞（Netflix）颠覆百视通，但似乎直到今天百视通都没弄清奈飞的真正功能是什么。
不仅如此，还有一个真正面对消费者的服务层，如今我们已经看到许多选择，比如渴望获得用户支持的Coinbase等交易所，还有诸如Blockchain.com之类的钱包基础架构。不仅如此，全球许多大企业都在探索数字货币，比如智能手机制造巨头三星正在将芯片放入手机中，从而使他们的手机变成硬件钱包，电商巨头亚马逊也可能会推出一个数字钱包。
相比于数字行业，传统金融行业比较“笨拙”、分割传统金融资产要麻烦的多，股票相对好一些，但黄金和房地产并不能真正被分割，因此传统金融市场推出了过渡性产品：交易所交易基金（ETF），但问题是，交易所交易基金有太多根本不需要的“中介”服务提供商，这些问题会扼杀创新。
未来一切都会被代币化，当中央银行明白这一点之后，数字货币行业发展势必会进一步加速，到之后比特币很可能会黄金在传统货币领域里所扮演的角色中间层（服务层）将变得更加自动化和技术化。
16:50【PayPal入场加密货币真的如你所想的那样吗？】
【PayPal入场加密货币真的如你所想的那样吗？】
你的规模越大，一举一动引发的关注就越大。而说到主流支付公司，很少有比PayPal更大的。
PayPal本周确认了其进入加密货币资产行业，宣布在其平台上实现加密货币的买卖和持有。在未来几周内，美国的用户将可以使用他们的PayPal账户交易比特币（BTC）、以太币（ETH）、莱特币（LTC）和比特币现金（BCH）。该服务将在明年上半年推广到PayPal旗下的Venmo以及其他地域。用户还可以使用这些加密货币在PayPal网络内的2600万家商户购买商品。
市场将其视为利好消息，这从BTC价格自宣布以来上涨近15%（2020.10.25）可见一斑。PayPal支持的其他加密货币也出现了10-15%的周收益。
这次的反弹似乎给一直陷入情绪低迷的市场注入了活力。的确，PayPal的消息对整个行业来说是利好。但这一消息并不像许多市场观察家似乎认为的那样会对比特币和另外几个币种的基本面前景有推动作用。
数字又能说明什么
首先，这个消息并不意外。几个月前就报道过这一消息，后来还补充说明，实际的加密货币交易会由Paxos处理。
PayPal确实会给加密货币带来超过3.4亿用户。作为背景来了解一下，根据数据公司Glassnode的数据，目前有3200万个地址中持有比特币（其中只有500万个是活跃的）。但PayPal的加密货币用户不一定会增加这一地址数，因为他们将无法获得自己的私钥。更重要的是，用户将无法将自己持有的加密货币从PayPal账户中转移出去，也无法向其他PayPal用户发送加密货币。换句话说，PayPal或多或少地决定了用户可以用他们的加密货币做什么，如果他们认为合适的话，大概可以冻结账户，至少现在是这样，而这并不完全符合加密货币所推崇的精神。
另一个让许多人兴奋的是2600万个商户的网络，用户将可以在这个网络上消费他们的加密货币，PayPal将处理法币与加密货币的兑换。然而，多年来，随着投资用途占据主要地位，"用加密货币买东西"的用例引起的关注相对较少。人们为什么要花费一笔投资资产，放弃任何潜在的收益？诚然，在一些国家，例如使用比特币通过PayPal支付可能比美元更容易。但仅仅因为该服务现在可用，并不意味着人们会大量使用它。
表现不好的指标
在补充说明中最重要的是，反弹在相对看空的情绪中爆发。作为背景了解一下，将本周的反弹与今年7月底的价格急剧飙升进行比较是有帮助的，当时BTC在10天内上涨了近30%。
在7月反弹之前的几周，比特币网络上的交易数量一直在上升，表明活动日益活跃。在这次反弹之前的几周，交易数量在下滑。
同样，比特币网络上的活跃地址数在进入7月反弹时也在增加，但在本周上涨时却在减少。
这两个指标都暗示了网络活跃度的下降，或许是考虑到价格一直在相对狭窄的区间内徘徊，交易员和投资者兴趣下降的结果。
衍生品市场也显现出一些看空情绪，9月初，比特币永续期货的资金利率转为负值。资金利率为负意味着空头多于多头。相比之下，自7月反弹开始的初夏以来，资金利率大多为正，这表明交易商和投资者对市场前景更为积极。
而比特币期权未平仓利息的认沽/认购比率在7月时约为0.5（意味着认购多于认沽，或者说看涨仓位多于看跌仓位），到10月初已经上升至0.7（表明该比率更倾向于看跌情绪）。
蓄势
然而，加密货币市场的变化很快，上面这些指标正在调整。正如我们所看到的那样，情绪可以在一瞬间转变，这会完全改变在FOMO激发下的市场指标。进入本轮反弹的不同的"情绪"可以部分解释资产价格的快速上涨，因为措手不及的交易员争相调整仓位。这也可能意味着，随着PayPal的新鲜感消失，看跌情绪的回归，这波反弹可能是短暂的。
不过，看空情绪的本质以及PayPal公告的影响，都表明情况并非如此。
过去几周兴趣的减弱似乎更多的是价格如温吞水一般，而不是消极的基本面因素。事实上，投资比特币的理由一直在增加，通胀的担忧不仅鼓励传统的基金经理，而且鼓励企业财务人员对冲货币贬值。
在衍生品市场，机构活动一直在稳步增长。芝加哥商业交易所(CME)是美国最大的受监管的加密货币衍生品场所，经常被当作机构参与的代表，现在拥有市场上第二高的BTC期货未平仓合约量，而就在三个月前它还排名第四。
而作为采用率的指标，比特币网络上的非零地址数量也在继续达到历史最高水平。
不可避免的趋势
也许比这些和其他市场指标（对加密货币的兴趣在慢慢增加）更重要的是PayPal公告所传递的信息。
这并不是说，一家几年前还冻结了交易加密货币的账户的公司，现在却全心全意地接受了这个概念。更重要的是，财富500强中的一个成员公开认可加密货币的概念。还有就是，此举让比特币登上了主流头条，没有"黑客"、"勒索软件"或"洗钱"等字眼。这是一个让比特币被公众接受的大好时机。
然而潜在的信息更重要，就是PayPal在向人们表明数字货币的世界是不可避免的。