死を免れたカーブファイナンスにどれだけの信頼が残っているのか？

7月30日、スマートコントラクトプログラミング言語Vyperの一部のバージョンに重大な脆弱性があることが判明し、Curve Financeを含むいくつかの重要なプロジェクトへの攻撃が発生しました。 PeckShield の統計によると、この攻撃によりさまざまな当事者に最大 5,200 万ドルの累積損失が発生しました。

そのうち、カーブ・ファイナンスのTVLは32億6,600万ドルから17億8,900万ドルに減少し、約45％減少し、ほぼ半減した。しかし、特にスリリングなのは、攻撃後、チェーン上の CRV の瞬間価格がほぼゼロになったことです。 Chainlink がフォローアップに失敗し、時間内に最低価格を提示していなかった場合、複数の融資契約に基づく CRV 住宅ローン債務ポジションは、直接的に清算リスクに直面していたでしょう。

この衝撃的な光景を受けて、韓国の上位5つの取引所はいずれも投資家に対しCRVの価値に注意するよう呼び掛けており、CRVのチャージや引き出しサービスを停止した取引所もある。しかし、市場価格の反応を考えると、破損した流動性プールは3つか4つだけで、大きな問題ではないというネットユーザーもいる。ウー・ジハン氏は、CRVを底値で購入したと公に述べ、カーブ・ファイナンスについては引き続き楽観的だと述べた。

カーブ・ファイナンスは過去に何度も清算危機に直面しており、今回は特に危険だ。では、この DeFi ブルーチップ プロジェクトは、投資家にとってどの程度の信頼を得られるのでしょうか?

控除

1. 3つの清算危機

この攻撃の影響により、複数のDEXにおけるCRVの取引価格が大幅に変動しました。その中で、Uniswap上のCRV/WETH取引ペアの瞬間価格は一時0.08ドル前後まで下落した。

CRV は複数の融資契約において住宅ローン債務を保有しています。特に、Curveの創設者であるマイケル・エゴロフ氏は、Aave、FRAXlend、Abracadabr、Inverseに合計2億9,200万CRV（約1億8,100万米ドル）を担保とし、1億1,000万米ドルの資金を貸し出しました。総合清算価格は約0.4米ドルです。

Chianlink が 0.08 ドルの価格を提示したとしても、これらの担保ポジションは間違いなく清算されるでしょう。さらに深刻なのは、FUD感情が広まると、DeFiの世界が壊滅的な結果に直面することになるということです。

先月も同様の清算危機が発生した。 dForceの創設者であるMindao氏は、Curveの創設者がCRVの流通トークンの33％以上をAaveに預けたが、7100万枚のステーブルコインを貸し出しており、大きなリスクをもたらしたと書いている。

その後数日間、Curve 3poolのUSDTはわずかに分離され、USDT傾斜率は74％を超えました。

これに応じて、Curve Finance の創設者は、清算のリスクを軽減するためにトークンを複数回返済する必要がありました。最大の取引は、関連ウォレットから分散型融資プラットフォームAaveに3,800万Curve DAOトークン（2,400万米ドル相当）を預け入れた取引だった。

昨年11月、CRVはクジラによって空売りされ、コインの価格は0.4ドル前後の安値に達した。 CRVは、Curveの創設者がAAVEに2000万CRVを追加し、そのプロジェクトによって立ち上げられたステーブルコインCrvUSDのホワイトペーパーを公開したおかげで、大規模な清算から救われました。

2.流動性プールのティルトが頻繁に発生する

2023年:

6月15日、Curve 3poolで2億500万USDTが売却され、USDTが74.35%（3億175万3409個）を占め、わずかなデペッグが発生しました。

2022年:

11月10日時点で、USDTはCurve 3poolの80.43%（742,416,062個）を占め、DAIとUSDCはそれぞれ9.79%と9.77%を占めています。

11月13日、CurveのUSDD/3CRVに大きな傾斜が見られ、USDDが81.76%（32,679,832枚）を占めました。 DAlは2.99%（1,196,988個）を占めた。 USDCは3.00%（1,200,247枚）を占めた。 USDTは12.23%（4,891,589枚）を占めました。 USDDとUSDCの交換比率は1:0.981282です。

8月26日、CurveにおけるrETHとETHの交換比率は1:0.7917に低下し、流動性プール比率はrETHが81.54%を占めるなど、大きく偏っていました。

Curve にも同様のケースが多数あります。

3.エコシステムプロジェクトはVyper言語に依存しており、監査が存在しない

Curve Finance には、Vyper 言語を使用してスマート コントラクトを記述する流動性プールが複数あります。セキュリティ会社 Ancilia による影響を受ける契約の分析によると、136 件の契約が再入保護機能付きの Vyper 0.2.15 を使用し、98 件の契約が Vyper 0.2.15 バージョンを使用し、226 件の契約が Vyper 0.2.16 と Vyper 0.3.0 を使用しています。

Vyper のコード ベースは小さいため、読みやすく、履歴を分析するための変更も少なくなります。したがって、コンパイラに大幅かつ頻繁な変更が行われると、監査作業の同期が困難になります。

7月21日と7月25日、Curveエコシステムの流動性プラットフォームであるConic Financeが、スマートコントラクトが監査範囲外であったために2度ハッキングされ、400万ドルの損失が発生しました。

4.空売りの噂と訴訟

6月9日、3つの暗号ベンチャーキャピタル企業、ParaFi、Framework Ventures、1kxは共同で、Curveの創設者マイケル・エゴロフ氏を詐欺と企業秘密の不正流用で訴え、VCに経済的損失を与えた。

そして6月12日、dForceの創設者であるMindao氏はCurveの創設者に対し、ステーブルコインを借りるために大量のCRVを担保にすることには大きなリスクがあることを思い出させた。同氏はまた、レバレッジのために自国通貨を担保にすることは売却を控えているように見えるかもしれないが、実際には空売りを誘発することになるとも述べた。

同様の Curve 空売り事件や噂は、オンライン コミュニティでもよく見られます。

ボーナスポイント

マイケル・エゴロフ氏によって設立され、2020年1月にローンチされたCurve Financeは、自動マーケットメーカー（AMM）アーキテクチャで構築された分散型取引所（DEX）を提供することを目指しており、主にステーブルコイン（USDT、USDC、DAI）、合成資産/デリバティブ/アンカー資産（wBTC、renBTC、stETH）などに焦点を当てています。主な事業領域としてイーサリアムに加え、マルチチェーン展開も行っています。

攻撃によって深刻な被害を受けたにもかかわらず、Curve Finance は依然として DEX の中で第 2 位にランクされています。

プロジェクトの品質を評価するには、その分野のリーダーと比較するだけで十分です。 DEX リーダーの Uniswap と比較して、Curve Finance には次の利点があります。

1. 効率性とスリッページ

Curve はステーブルコイン取引所に重点を置いているため、使用コストが低くなります。 Curve のメカニズムとプロジェクト関係者との協力により、より多くの種類のステーブルコインと合成資産が Curve 上の流動性プールの形成に使用されます。ほとんどのステーブルコイン取引ペアは、Curve 上で直接取引できます。

さらに、プールと各プール内の資産の種類を制限することで、Curve は資産価格の変動の影響を受けにくくなり、一時的な損失を最小限に抑えます。

2. 合成資産

さまざまなプロジェクトとの良好な協力関係の恩恵を受けて、Curve は \)sETH と $renBTC で良好な収益を上げています。

同様に、十分な流動性/LPインセンティブにより、Curve は Ethereum 2.0 ステーキング プロトコル Lido からサポートを受け、半公式の \(stETH プールになりました。

3. 契約収入

Curve のすべてのトークンの交換手数料は 0.04% に統一されており、入出金手数料は 0% - 0.02% です。しかし、Curve プロトコルの収益の半分は CRV トークンのステーカーに分配されます。

プロトコル収入のこの分配率により、間違いなくより多くのユーザーと LP が Curve にもたらされるでしょう。

4. 生態系の量

Uniswap にはサポート プロジェクトはほとんどありませんが、Curve エコシステム プロジェクトは多数あり、エコシステムの重要性に応じて、コア エコシステム プロジェクト、エコシステム プロジェクト、協力プロジェクト、ユーザー プロジェクトに大別できます。

これらのプロジェクトは、流動性調達手数料という直接的なプロトコル収入を Curve に提供することができます。 Curve のコアビジネスである流動性市場における流動性資金調達または流動性調達に関するエクスペリエンスの最適化または支援を提供します。 CRV（またはCVX）のロックアップを吸収して増加させ、CRVが二次市場に流れるのを防ぎます。

結論

Vyper 貢献者の @fubuloubu が指摘したように、この攻撃を可能にした脆弱性を見つけるには数週間から数か月かかるため、Vyper の改善に役立つ報奨金プログラムが必要です。ただし、より高いセキュリティを提供するために、古い Vyper バージョンをアップグレードまたは移行する必要があります。

この攻撃に関しては、DeFiの終焉どころか、Curve Financeに致命的な打撃を与えることもなかった。同様に、暗号通貨市場もまだ暗い森です。 Curve Finance に対して楽観的であろうと弱気であろうと、慎重かつ合理的な態度を保たなければなりません。