損失超 5000 萬、創始人買豪宅被控欺詐，“水逆期”的 Curve 還有救嗎？

作者：西柚，ChainCatcher

今日，Curve平台資金池被攻擊成為加密市場頭條新聞。截至目前，Curve平台上資金池損失已高達5200萬美元。

7月31日，根據DeFiLlama數據顯示，Curve平台上鎖倉的加密資產價值為17億美元，創2021年1月以來的新低，24小時內資產規模縮水約50%，在DeFi應用中TVL排名已掉至前十名開外，現排名11。

Curve的攻擊事件引發了一連串的連鎖反應，使其多個DeFi應用受牽連。而CRV代幣價格的劇烈波動又隱藏著潛在的鏈上清算危機。其中，借貸平台Aave禁用CRV借款功能，有用戶猜測是為了防止有用戶借幣CRV惡意做空促使連環清算，而韓國交易所Upbit由於CRV價格波動較大宣布暫停了CRV代幣的充提。

這次可謂是Curve的至暗時刻，這次會不會也像之前一樣順利度過難關呢？

攻擊事件已 牽連多個 D eFi 應用，還有哪些潛在風險？

如今，打開Curve官網頁面首先映入用戶眼簾的就是Vyper漏洞相關的資金池安全提示：由於Vyper重入鎖故障，使用Vyper 0.2.15、0.2.16和0.3.0的資金池被攻擊，這些資金池的流動性已被抽乾，團隊正在評估受影響的情況。受影響的資金池包括alETH/ETH、msETH/ETH、pETH/ETH和CRV/ETH，其餘資金池未受影響。

Curve資金池攻擊事件牽連了多個DeFi應用。根據派盾監測統計，截至目前，此次攻擊累計損失約5200萬美元。

其中，NFT借貸協議JPEG'd發行的pETH在Curve上組成的pETH-ETH池損失約1100萬美元，並使其pETH價格脫鉤，現價格為862美元；DeFi借貸協議Alchemix的alETH-ETH池遭攻擊損失約1300萬美元，現alETH價格為1246美元，仍處在脫鉤狀態；DeFi合成資產協議MetronomeDAO的msETH/ETH池被盜約160萬美元，並暫停了Metronome主網功能；Curve上的CRV/ETH資金池被盜資金超1000萬美元；DEX平台Ellipsis損失6.8萬美元；跨鏈應用deBridge損失2.4萬美元等。

與此同時，Curve的原生代幣CRV價格在鏈上出現了劇烈波動，其Uniswap上的CRV/WETH交易對曾在短時間（7月31日3點左右）內一度跌至0.03美元，幾乎歸零。現價格已恢復至0.63美元左右。

今日，韓國最大交易所Upbit發布公告稱，由於Curve部分穩定幣池被攻擊，導致CRV波動性較大，現已暫停Curve（CRV）充值與提幣服務。

CRV價格的劇烈波動始終牽動著用戶的心弦，因為鏈上有大量的CRV抵押倉位，一旦CRV價格跌至一定的價位，那麼將有大量的CRV面臨清算，這往往也會使其資產產生死亡螺旋。

其中，最為備受關注的要為Curve創始人Michael Egorov的倉位所屬，用戶對其持有的巨額CRV倉位是否會被清算以及產生的連鎖反應很擔憂。

根據研究員0xLoki推文顯示，Michael Egorov在Aave、FRAXlend、Abracadabr、Inverse等借貸平台上共抵押了2.92億枚CRV，價值1.81億美元，借出了1.1億美元資金，其綜合清算價格約在0.4美元附近。

其中，Aave上的倉位最大，抵押了1.9億CRV，借了6500萬美元，清算價0.37美元。其次是FRAXlend上抵押4600萬CRV，借了2100萬FRAX，清算價0.4美元；Abracadabr存入4000萬CRV，借出1800萬美元，清算價0.39美元；Inverse上存入1600萬CRV，借出700萬美元，清算價0.4美元。

如果CRV跌至0.4美元以下，那麼3億枚CRV將全部被清算。

不過，從鏈上價格來看CRV曾一度跌至0.03美元，為何未造成任何CRV倉位的清算？這主要是因為借貸協議多採用的報價機制是Chainlink預言機進行喂價。而Chainlink的報價機制並不是依據單一的鏈上數據或某個單一的DEX，而是採用的鏈上（DEX）鏈下(CEX)數據加權後的平均價格，根據交易量按比例加權。

就拿這次的CRV來說，CEX 中幣安、OKX上的價格並沒有到0.03美元，Chainlink並不會報價0.03美元，而是多方加權後的價格，根據數據顯示，Chainlink最低價格是0.59美元。

正是因為Chainlink的報價機制差異使CRV在面臨短時的鏈上異常價格時，並未讓其抵押中的倉位被清算。

現在Aave已禁用CRV借款功能，有用戶猜測可能是為了防止交易者利用Curve漏洞事件恐慌，借幣CRV惡意做空促使連環清算。目前在Aave中有約2.91億枚CRV供應，約95%來自Curve創始人Michwill的存入。在過去的幾個小時內，創始人Michwill已陸續歸還了部分債務的資金，並增加了CRV質押物。

以太坊 合約語言 Vyper 漏洞導致 攻擊

Curve這次攻擊事件可謂牽涉面極廣，用戶關注度極高。不過，慶幸的是Curve本次被黑客攻擊並不是自身的合約漏洞問題所致，而是基礎層的以太坊智能合約編程語言出現了問題導致的。

就在Curve上穩定池被攻擊後，7月31日，以太坊編程語言Vyper發推表示，Vyper0.2.15、0.2.16和0.3.0版本的重入鎖失效，而Curve上的遭到攻擊的資金池(alETH/msETH/pETH) 是採用的Vyper 0.2.15部署。

Vyper是一種Python系的以太坊智能合約開發語言，創建於2017年。與目前常用的編寫以太坊智能合約Solidity相比，該語言對於習慣於Python系語言的開發者會更好上手。以太坊創始人Vitalik曾在推文中表示，Vyper正在悄悄地繼成為更進步的以太坊高級語言。其中，用Vyper編寫的項目示例包括Uniswap v1及Curve等。

而本次Vyper提及的版本重入鎖功能失效，作惡者可以多次反復重入合約，在單次交易中多次執行某些功能，導致未經授權的操作或資金被盜。

目前，Vyper的新版本已經修復存在的漏洞，只是Curve被攻擊的幾個資金池的合約不可升級。

本次黑客攻擊事件罪魁禍首其實是底層編程語言Vyper而不是Curve本身，讓人鬆了一口氣的同時，也引發了用戶對於承載DeFi應用的基礎層安全性方面的更大的擔憂。因為比起應用的問題，底層語言的漏洞更讓人後怕。這主要是因為基礎層漏洞帶來的災難對於其鏈上生態影響是致命的，往往會引起多個連鎖反應，重建的過程會更加困難（如Curve上被攻擊的資金池合約不支持編程語言升級版本等），而單個應用出現問題的影響範圍大多是可控的。

所幸這次不是Solidity，而是還不那麼流行的Vyper出了問題。

加密KOL CM發推表示："Curve被黑，Vyper的技術層面問題，可謂是釜底抽薪，這已經不是協議本身或者說智能合約設計的問題，如果Solidity也同樣有出問題的可能性，那麼鏈上所有的應用也無安全可言。所以你們說DeFi不存在了，這還不算慘的，更悲慘的是區塊鏈不存在了。"

不過也有用戶對此表示這驗證了一個真理：沒有絕對的安全，當你享受了智能合約帶來的好處時，也要履行相應的代價。

"多災多難"的C urve 能否度過這次風波？

雖然被攻擊的原因與項目本身合約無關，但Curve依舊成為眾矢之的。

有用戶認為本次事件儘管是編程語言的問題，但Curve也難逃此咎，審查不到位也沒有主動提示用戶資金池所採用的編程語言。不過也有用戶表示，這次事件恰好驗證了Curve智能合約的安全性，因為其它資金池並沒有都採用Vyper，雞蛋沒有放在同一個籃子，官方分散了風險。

總的來說，這次黑天鵝事件對於Curve平台來說負面影響多於正面。

今年對於Curve來說，可謂是"多災多難"。

先是在5月底，Michael Egorov被媒體爆出與其妻子Anna Egorova在墨爾本購買兩處豪宅，共斥資4100萬美元，占地面積4251平方米。

隨後在6月初，Curve創始人Michael Egorov先是被ParaFi、Framework Ventures和1kx知名加密VC聯合起訴控告商業欺詐。稱其於2020年向Curve投資100萬美元之後，Michael Egorov將這些投資款存入Curve的流動資金池，三家VC未拿到任何商業回報，既沒有獲得CRV代幣也也未收到退款。並指控Michael Egorov無意放棄本人對Curve的控制權，沒有向Curve DAO交出權力，鎖定了比預期更多的CRV保持壓倒性的控制權，一邊通過質押獲得獎勵收益一邊變賣部分代幣。

接著又被用戶扒出，創始人Michael Egorov手握三分之一以上的CRV流通盤，其在Aave中抵押的CRV代幣總量高達2.91億枚，占據CRV流通供應量的34.15%。這在用戶看來，Curve創始人這是在以低成本的方式變現方式。

在Aave中抵押的2.91億枚CRV一直被用戶視為一個隱而未發的堰塞湖，會引發集體做空CRV。這對Curve生態和Aave協議都是極大的威脅，用戶擔心CRV會清算遭遇死亡螺旋也會給Aave帶來壞賬。而這次的黑天鵝事件雖沒有讓該倉位發生清算，但再次引起了用戶的擔心，市場的風險是捉摸不定的，一旦極端事件發生，那麼這3億枚CRV倉位帶來的影響也將是不可預測的。

雖然後來隨著穩定幣crvUSD的推出和數據的增長讓用戶逐漸淡忘了有關其創始人的輿論風波，但接二連三的事件對Curve來說打擊還是不少。這次攻擊後，Curve也會依舊像前幾次一樣快速恢復嗎？

說句公道話，似乎近期的事件無論是創始人風波還是智能合約語言漏洞引發的攻擊，都和項目本身的運行沒有直接關係，也無法真正對一個去中心化的項目造成致命威脅。今日，吳忌寒還發推稱已經抄底CRV，並力挺Curve表示："在即將到來的 RWA 浪潮中，CRV 是最重要的基礎設施之一"。