La tourmente de la courbe est terminée et les mouvements financiers des principaux groupes d’intérêt sont en train d’être accélérés

Le 30 juillet, le pool de stablecoins Curve alETH/msETH/pETH a été attaqué en raison d’une vulnérabilité de verrouillage récursif dans certaines versions de Vyper (0.2.15, 0.2.16 et 0.3.0). Alchemix, JPEG’d, Metronome, deBridge et Ellipsis ont perdu environ 70 millions de dollars à la suite de l’attaque de la partie Curve du pool de stablecoins :

• Alchemix : 7 259 ETH et 4 821 alETH (environ 22 millions de dollars) ;
• JPEG’d : 6 106 ETH (environ 11,4 millions de dollars) ;
• Métronome : 866,554 ETH (environ 1,6 million de dollars), 955 smETH (environ 1,7 million de dollars) ;
• Pool CRV-ETH : 10 500 ETH (environ 19,4 millions de dollars), 7,19 millions de CRV (environ 4,4 millions de dollars).

Touché par l’attaque, le prix du CRV a chuté, et l’emprunt du fondateur risquait d’être liquidé

Touché par l’attaque, le 31 juillet, la position verrouillée totale (TVL) de Curve Finance est passée de 3,266 milliards de dollars le 30 juillet à 1,869 milliard de dollars, soit une baisse de 42,78 % sur 24 heures, et le prix du CRV a diminué de 14,89 % en 24 heures.

La baisse du prix du CRV a forcé la position d’emprunt de 70 millions de dollars du fondateur de Curve, Michael Egorov, sur Aave, à liquider. Dans cette optique, Egorov a vendu le CRV plutôt que le gré à gré en échange de fonds pour rembourser le prêt.

Depuis le début de la vente de gré à gré le 1er août, Egorov a vendu un total de 142,65 millions de CRV à 30 investisseurs/institutions au 6 août, en échange de 57,06 millions de dollars.

Au 6 août, Egorov disposait encore de 269,8 millions de CRV (166 millions de dollars) sur quatre plateformes, avec une dette d’environ 48,7 millions de dollars.

L’attaquant rend les fonds

Le 30 juillet, l’exploiteur coffeebabe.eth a rendu 786 ETH (1,45 million de dollars) et 955 smETH (1,74 million de dollars) à Metronome, et 2 879 ETH (5,36 millions de dollars) à Curve Finance.

Le 3 août, la Curve Foundation a envoyé un message on-chain à l’exploiteur indiquant que si l’attaquant rendait les 90 % restants avant 8 heures du matin (UTC) le 6 août, il recevrait 10 % des fonds volés sous forme de prime ;

Le 4 août, les attaquants ont 0x6ec retourné 5 495 WETH (10 millions de dollars) à JPEG’d et conservé 610 ETH (1,1 million de dollars) à titre de prime de 10 %, et les attaquants ont 0xdce retourné 2 258 ETH (4,15 millions de dollars) et 4 820 alETH (8,82 millions de dollars) à AlchemixFi.

Le 5 août, 0xdce a retourné 4 999 ETH (9,18 millions de dollars) à AlchemixFi, qui ont tous été retournés ;

Le 6 août, 32 % des biens volés (environ 18,7 millions de dollars) n’avaient pas été restitués :

• 80 ETH (14 700 $) de MetronomeDAO (détenu par coffeebabe.eth) ;
• 7 681 ETH (14,4 millions de dollars) et 7,19 millions de CRV (4,43 millions de dollars) du pool CRV-ETH.

Au moment de mettre sous presse, sur les 59,5 millions de dollars volés dans l’exploit Curve Finance Vyper, environ 40,3 millions de dollars ont été restitués, 560 000 dollars ont été utilisés comme prime pour les pirates et environ 18,7 millions de dollars n’ont pas été restitués par les exploiteurs CRV/ETH (0xb752… B324)。

Le 7 août, Curve Finance a tweeté que la date limite pour que les attaquants de l’exploit CRV/ETH restituent volontairement leurs fonds était passée, et qu’une prime serait offerte pour récompenser toute personne fournissant des informations ayant conduit à l’arrestation et à la condamnation du pirate (actuellement 1,85 million de dollars).

De plus, Odaily Planet Daily rappelle spécialement que certains comptes sur X (c’est-à-dire Twitter) sont récemment apparus en se faisant passer pour des fonctionnaires de Curve, et que les comptes frauduleux sont souvent marqués de marqueurs bleus ou jaunes, vous devez donc faire attention aux précautions.