Als reactie op de uitbuiting van een kwetsbaarheid in de programmeertaal Vyper daalde de koers van het CRV-aandeel met meer dan 30%. Veel CRV-houders kozen ervoor om hun kapitaal te verplaatsen, wat een aanzienlijke piek veroorzaakte in on-chain activiteit en grote stortingen op beurzen.
CRV-koers keldert als 4 liquiditeitspools misbruiken
Het gedecentraliseerde financieringsprotocol van Curve Finance (DeFi) werd op 30 juli aangevallen door een kwetsbaarheid in de programmeertaal Vyper die door sommige liquiditeitspools wordt gebruikt. Als reactie hierop daalde de koers van het CRV-aandeel van $0,72 naar minder dan $0,5, een daling van meer dan 30%.
Afbeelding 1: Dagelijkse CRV prijs
De exploit resulteerde in tientallen miljoenen dollars verlies voor verschillende liquiditeitspools: CRV-ETH, pETH-ETH, msETH/ETH en alETH/ETH.
De kwetsbaarheid die werd uitgebuit is een re-entrant aanval, waardoor een aanvaller de functie van een smart contract meerdere keren kan gebruiken, ook al is het de bedoeling dat deze maar één keer wordt gebruikt.
In dit geval kon de aanvaller een functie in de Curve-pool aanroepen, waardoor hij meer tokens kon opnemen dan de bedoeling was. Curve Finance heeft het probleem erkend en werkt eraan om het probleem op te lossen en de community te informeren.
De reactie van CRV-houders
In reactie op de meervoudige aanvallen op de Curve pools, misinformatie en paniek, kozen veel CRV-houders ervoor om hun kapitaal te verplaatsen, ofwel door hun CRV’s terug te trekken uit de slimme contracten of door ze te verkopen.
Na de aankondiging van de Vyper-kwetsbaarheid en de eerste meldingen van exploits werd een aanzienlijke toename van Curve-adresactiviteit geregistreerd.
Afbeelding 2: Actieve CRV-adressen
Van 604 actieve adressen op 29 juli tot bijna 5.000 actieve adressen twee dagen later, is de activiteit van CRV-tokens verzevenvoudigd. Deze toename in activiteit, die de urgentie en paniek van sommigen weerspiegelt, is ook meetbaar via het aantal transacties op Uniswap V3, dat een grote meerderheid van de transacties in de DeFi-sector beheert.
Terwijl de gemiddelde activiteit voor 30 juli rond de 40 transacties per dag lag, werden er na de aankondiging van de aanvallen dagelijks meer dan 2.600 transacties gedaan, een 70-voudige toename.
Afbeelding 3: Aantal transacties op UniswapV3
Dit geeft aan dat veel CRV-houders hun tokens probeerden te ruilen voor ETH, of een andere token die op dat moment veiliger werd geacht dan de CRV. Tot slot steeg het totale overdrachtsvolume met een factor 57 tot bijna 680 miljoen CRV’s die per dag werden overgedragen op 30 juli, vergeleken met slechts 12 miljoen de dag ervoor.
Afbeelding 4: Totaal overdrachtsvolume
Hoewel de door de aanvaller verplaatste CRV’s hier ook geteld zijn, geeft dit duidelijk aan dat nieuws over een schadelijke kwetsbaarheid voor Curve een golf van wantrouwen heeft veroorzaakt op een schaal die niet meer gezien is sinds de ineenstorting van FTX.
Grote CRV-deposito’s op beurzen
Daarnaast werden er zeer snel nadat het nieuws over de kwetsbaarheid in de Vyper-compiler bekend werd gemaakt, grote hoeveelheden stortingen gedaan op tal van gecentraliseerde beurzen (CEX).
In minder dan drie dagen werden bijna 30 miljoen CRV’s gedeponeerd op verschillende CEX’en, van een totaal van 94 miljoen tot meer dan 125 miljoen CRV’s.
Figuur 5: Nettostroom van CRV’s naar beurzen
Deze instroom van liquiditeit weerspiegelt de wens van sommige op hun hoede zijnde houders om van hun token af te komen, een beslissing die is gekatalyseerd door de daling van de prijs van CRV, waardoor de paniekcyclus is versneld.
Bij nader inzien blijkt dat de meerderheid van de CRV-tokens die naar exchanges zijn overgebracht, hun toevlucht hebben gevonden op Binance en Bitfinex, die de afgelopen drie dagen goed waren voor meer dan 60% van de totale instroom.
Figuur 6: CRV reserves op exchanges
Het is ook belangrijk om te vermelden dat sommige exchanges aanzienlijke terugtrekkingen van CRV’s hebben gezien, vooral in de Verenigde Staten. De reserves van Coinbase zijn sinds de aanval met meer dan 1,7 miljoen CRV’s gekelderd, zonder dat er op dit moment een duidelijke verklaring voor is.
