30. července došlo k útoku na Curve stablecoin pool alETH/msETH/pETH kvůli zranitelnosti funkčního rekurzivního zámku v některých verzích Vyper (0.2.15, 0.2.16 a 0.3.0). Alchemix, JPEG'd, Metronome, deBridge a Ellipsis, ovlivněné útokem na některé stabilní coiny Curve, aktuálně utrpěly kumulativní ztrátu přibližně 70 milionů USD:
Alchemix: 7259 ETH a 4821 alETH (přibližně 22 milionů $);
JPEG'd: 6106 ETH (přibližně 11,4 milionu $);
Metronom: 866,554 ETH (přibližně 1,6 milionu USD), 955 smETH (přibližně 1,7 milionu USD);
CRV-ETH pool: 10 500 ETH (přibližně 19,4 milionů amerických dolarů), 7,19 milionů CRV (přibližně 4,4 milionů amerických dolarů).
Po ovlivnění útokem cena CRV klesla a půjčka zakladatele čelila riziku likvidace
Po ovlivnění útoku dne 31. července celkový objem uzamčení (TVL) společnosti Curve Finance klesl z 3,266 miliardy USD 30. července na 1,869 miliardy USD, což je 24hodinový pokles o 42,78 % a cena CRV klesla o 14,89 % v roce 24 hodin.
Klesající cena CRV donutila zakladatele Curve Michaela Egorova půjčující pozici ve výši 70 milionů dolarů na Aave čelit riziku likvidace. S ohledem na to Egorov prodal CRV prostřednictvím OTC výměnou za prostředky na splacení úvěru.
Od zahájení prodeje OTC 1. srpna, k 6. srpnu, prodal Egorov celkem 142,65 milionu CRV 30 investorům/institucím výměnou za fondy ve výši 57,06 milionu USD.
K 6. srpnu Egorov stále zastavoval 269,8 milionů CRV (přibližně 166 milionů USD) na čtyřech platformách, s dluhovou škálou přibližně 48,7 milionů USD.
Útočník vrací peníze
30. července společnost coffeebabe.eth, využívající zranitelnosti, vrátila 786 ETH (1,45 milionu USD) a 955 smETH (1,74 milionu USD) společnosti Metronome a 2879 ETH (5,36 milionu USD) společnosti Curve Finance;
3. srpna odeslala Curve Foundation vykořisťovateli zprávu on-chain Pokud útočník vrátí zbývajících 90 % do 8:00 (UTC) 6. srpna, obdrží 10 % z ukradených prostředků jako odměnu. ;
4. srpna útočník 0x6ec vrátil 5495 WETH (10 milionů USD) do JPEG'd a ponechal si 610 ETH (1,1 milionu USD) jako 10% odměnu útočník 0xdce vrátil 2258 ETH (415 milionů USD) a 4820 alETH (8,82 milionů USD);
5. srpna 0xdce vrátilo 4 999 ETH (9,18 milionů $) AlchemixFi, z nichž všechny byly vráceny;
6. srpna ještě nebylo vráceno 32 % ukradených aktiv (přibližně 18,7 milionu USD):
80 ETH (14 700 USD) od MetronomeDAO (správce coffeebabe.eth);
7 681 ETH (14,4 milionu $) a 7,19 milionu CRV (4,43 milionu $) z fondu CRV-ETH.
V době tisku bylo z 59,5 milionu dolarů ukradených při exploitu Curve Finance Vyper vráceno přibližně 40,3 milionu $, 560 000 $ bylo použito jako odměna pro hackery a přibližně 18,7 milionu $ ještě musí vrátit zneužitel CRV/ETH ( 0xb752 ...b324).
7. srpna společnost Curve Finance na Twitteru uvedla, že lhůta pro dobrovolné vrácení finančních prostředků pro útočníky na zranitelnost CRV/ETH uplynula a odměna bude poskytnuta každému, kdo poskytne informace, které vedou k zatčení a odsouzení hackera (aktuálně 1,85 milionu dolarů) ).