Заэксплойчен curve.fi и его форки
>Тезисно<
1. На момент написания заметки украдено 26.76 миллионов вечнозеленых.
2. Украденные активы включают CRV, wETH, alETH, msETH, pETH и WBNB.
3. Проблема задела пулы, которые работали на Vyper 0.2.15.
Одной из предыдущих версий языка программирования Vyper, в которой и засел эксплойт.
4. Среди пострадавших протоколов на момент написания заметки - Alchemix, JPEGd, Metronome, Debridge и Ellipsis.
Задеты только пулы, связанные с Curve. Сами протоколы живы-здоровы.
5. Команда Curve утверждает, что все пулы, которые могли пострадать - уже пострадали. Боржоми пить поздно.
6. Если вы LP в crv/eth пуле, вытащить свои слезы можно, дернув функцию
remove_liquidity_one_coin. >Закрывающие мысли<
Эксплойт нашли 30 июля.
По утверждению мэтров индустрии, сходу началась подготовка к белошляпному взлому, которому было суждено провалиться.
Хацкеры опередили.
Проблема уже локализована, а все что можно было взломать - взломали. На этом поле ловить нечего.
Но если все же хочется сидеть сутки с красными глазами, у меня есть для вас повод для паранойи!
Среди активов, которые были украдены, затесались 7 миллионов монет CRV. Тех, которые нативный токен curve.fi.
Интерес начинается, когда вспоминаешь, что треть циркуляции CRV (293 миллиона монет!) находится в руках одного человека: фаундера Curve.
И эта треть заложена в AAVE под крупный займ стейблкоинов.
А еще, если эту позицию начнет ликвидировать, в рынке нет достаточного количества ликвидности, чтобы ее закрыть.
Простыми словами - CRV будет насильно продан в рынок, а покупателей на него нет.
И тут в игру вступают 7 лимонов CRV, которые могут ударить по стакану и продавить цену вниз.
Сложив два и два, получаем черную дыру, в которой AAVE и ряд других протоколов, которые используют CRV как залог, попадают в заложники неликвидного актива, а цена виновника летит бесконечно вниз. Тем самым еще больше ухудшая ситуацию.
Рыночная и DeFi турбулентность обеспечены.
Впрочем, к чести Майка, он проактивно онлайн, постоянно подкидывает денег и держит ликвидацию на длинном поводке.
Не думаю, что нас ждет тотальный крах, но если очень хочется, следить за его кошельком и статусом займа можно по ссылке.