Vào ngày 30 tháng 7, nhóm stablecoin Curve alETH/msETH/pETH đã bị tấn công do lỗ hổng khóa đệ quy chức năng trong một số phiên bản của Vyper (0.2.15, 0.2.16 và 0.3.0). Bị ảnh hưởng bởi cuộc tấn công vào một số nhóm stablecoin của Curve, Alchemix, JPEG'd, Metronome, deBridge và Ellipsis hiện đã chịu khoản lỗ lũy kế khoảng 70 triệu USD:
Alchemix: 7259 ETH và 4821 alETH (khoảng 22 triệu USD);
JPEG'd: 6106 ETH (khoảng 11,4 triệu USD);
Máy đếm nhịp: 866,554 ETH (khoảng 1,6 triệu USD), 955 smETH (khoảng 1,7 triệu USD);
Nhóm CRV-ETH: 10.500 ETH (khoảng 19,4 triệu đô la Mỹ), 7,19 triệu CRV (khoảng 4,4 triệu đô la Mỹ).
Bị ảnh hưởng bởi vụ tấn công, giá CRV giảm, khoản vay của nhà sáng lập đứng trước nguy cơ bị thanh lý
Bị ảnh hưởng bởi cuộc tấn công, vào ngày 31 tháng 7, tổng khối lượng khóa (TVL) của Curve Finance đã giảm từ 3,266 tỷ USD vào ngày 30 tháng 7 xuống còn 1,869 tỷ USD, giảm 42,78% trong 24 giờ và giá CRV giảm 14,89% trong 24 giờ. .
Giá CRV giảm đã buộc người sáng lập Curve, Michael Egorov, vị trí vay 70 triệu USD trên Aave phải đối mặt với rủi ro thanh lý. Vì lý do này, Egorov đã bán CRV thông qua OTC để đổi lấy tiền trả khoản vay.
Kể từ khi bắt đầu bán OTC vào ngày 1 tháng 8, tính đến ngày 6 tháng 8, Egorov đã bán tổng cộng 142,65 triệu CRV cho 30 nhà đầu tư/tổ chức, đổi lấy 57,06 triệu USD tiền quỹ.
Tính đến ngày 6 tháng 8, Egorov vẫn thế chấp 269,8 triệu CRV (tương đương 166 triệu USD) trên 4 nền tảng, với quy mô nợ xấp xỉ 48,7 triệu USD.
Kẻ tấn công trả lại tiền
Vào ngày 30 tháng 7, kẻ khai thác lỗ hổng Coffeebabe.eth đã trả lại 786 ETH (1,45 triệu USD) và 955 smETH (1,74 triệu USD) cho Metronome và 2879 ETH (5,36 triệu USD) cho Curve Finance;
Vào ngày 3 tháng 8, Curve Foundation đã gửi một tin nhắn trực tuyến tới kẻ khai thác lỗ hổng. Nếu kẻ tấn công trả lại 90% còn lại trước 8 giờ sáng (UTC) ngày 6 tháng 8, anh ta sẽ nhận được 10% số tiền bị đánh cắp dưới dạng tiền thưởng. .
Vào ngày 4 tháng 8, kẻ tấn công 0x6ec đã trả lại 5495 WETH (10 triệu USD) cho JPEG'd và giữ lại 610 ETH (1,1 triệu USD) dưới dạng tiền thưởng 10%; kẻ tấn công 0xdce đã trả lại 2258 ETH (415 triệu USD) và 4820 alETH (8,82 triệu USD);
Vào ngày 5 tháng 8, 0xdce đã trả lại 4.999 ETH (9,18 triệu USD) cho AlchemixFi, tất cả số tiền này đã được trả lại;
Vào ngày 6 tháng 8, 32% tài sản bị đánh cắp (khoảng 18,7 triệu USD) vẫn chưa được trả lại:
80 ETH ($14.700) từ MetronomeDAO (người giám sát bởi Coffeebabe.eth);
7.681 ETH (14,4 triệu USD) và 7,19 triệu CRV (4,43 triệu USD) từ nhóm CRV-ETH.
Tính đến thời điểm viết bài, trong số 59,5 triệu USD bị đánh cắp trong hoạt động khai thác Curve Finance Vyper, khoảng 40,3 triệu USD đã được trả lại, 560.000 USD đã được sử dụng làm tiền thưởng cho tin tặc và khoảng 18,7 triệu USD vẫn chưa được kẻ khai thác CRV/ETH trả lại ( 0xb752...b324).
Vào ngày 7 tháng 8, Curve Finance đã tweet rằng thời hạn để những kẻ tấn công lỗ hổng CRV/ETH tự nguyện trả lại tiền đã qua và tiền thưởng sẽ được cung cấp cho bất kỳ ai cung cấp thông tin dẫn đến việc bắt giữ và kết án hacker (hiện tại là 1,85 triệu USD).