Curve Finance: cosa abbiamo imparato dall’exploit?

Solo la scorsa settimana tutti parlavano dell’incidente di hacking sull’exchange decentralizzato Curve. Ora sembra che tutto sia migliorato, ma dovremmo comunque dare uno sguardo più da vicino ai dettagli dell’exploit per cercare di capire quali lezioni se ne possano trarre.

Panoramica dell’incidente

Alla fine di luglio 2023, il protocollo DeFi Curve Finance è stato sfruttato. I truffatori hanno ottenuto accesso agli asset dei pool della piattaforma a causa di vulnerabilità nel linguaggio di programmazione Vyper smart contract, come confermato dai suoi sviluppatori. La vulnerabilità ha permesso agli attaccanti di creare smart contract che eseguono transazioni senza l’autorizzazione dell’utente. Le informazioni sulla violazione dei sistemi di sicurezza sono state pubblicate sul microblog del protocollo.

La vulnerabilità di Curve Finance ha permesso ai truffatori di accedere ad asset per un valore superiore a 47 milioni di dollari. Inoltre, i problemi di Vyper hanno permesso agli attaccanti di condurre un attacco simile sulla blockchain dell’exchange di criptovalute Binance - BNB Smart Chain (BSC) - e di prelevare asset per un valore di 73.000 dollari da essa.

Cosa è successo esattamente a Curve Finance?

Curve Finance ha subito un grave hack avvenuto in due fasi. Inizialmente, gli hacker hanno rubato circa 26 milioni di dollari a causa di una vulnerabilità di reentrancy. A questa è seguita la seconda fase dell’attacco, durante la quale sono stati prelevati 7,1 milioni di CRV (4,4 milioni di dollari) e 7.680 Wrapped Ether (14,37 milioni di dollari) dal pool Curve Finance CRV-ETH.

Gli hacker sono riusciti a sfruttare una vulnerabilità in una versione obsoleta del linguaggio di programmazione Vyper. Di conseguenza, il TVL è sceso da 3,26 miliardi di dollari a 1,72 miliardi di dollari, con un calo di quasi il 46% nell’arco di 24 ore.

Cos’è Vyper?

Vyper è un linguaggio di programmazione orientato ai contratti, basato su Python e progettato per la macchina virtuale di Ethereum. Gli sviluppatori hanno identificato che l’exploit di reentrancy esiste nelle versioni 0.2.15, 0.2.16 e 0.3.0.

Secondo gli analisti di Ancilia, circa 460 protocolli utilizzano software vulnerabile.

Secondo l’indagine di Curve, alcuni compilatori di codice hanno implementato in modo errato la protezione dal re-login, impedendo l’esecuzione simultanea di più funzioni bloccando il contratto. Questo errore ha permesso agli attaccanti di prelevare fondi da più progetti.

I progetti Curve DeFi, tra cui JPEG’s, MetronomeDAO, deBridge ed Ellipsis, sono stati colpiti dall’attacco. Il pool con le perdite maggiori è alETH-ETH Alchemix, con un valore di 13,6 milioni di dollari.

Impatto sul prezzo

Secondo DeFi Llama, il valore totale bloccato di Curve Finance in un giorno è quasi dimezzato - da 3,25 milioni a 1,73 milioni di dollari.

A seguito dell’attacco, il valore del token nativo Curve Finance (CRV) è sceso del 14%, anche se da allora si è ripreso.

Il fondatore della piattaforma crypto Matrixport, Jihan Wu, ha espresso sostegno per il progetto e ha dichiarato di aver acquistato token CRV durante il ribasso. A suo avviso, Curve Finance è una delle infrastrutture più importanti della prossima grande ondata di tokenizzazione degli asset del mondo reale.

Upbit, il più grande exchange sudcoreano, ha annunciato che la volatilità di CRV era aumentata a causa dell’attacco. Di conseguenza, la piattaforma ha sospeso tutti i depositi e i prelievi di coin.

“La diminuzione della liquidità non è mai una buona cosa per i mercati, soprattutto per le stablecoin, che devono essere scambiate in un intervallo molto ristretto”, ha affermato Clara Medalie, direttrice della ricerca di Kaiko.

Impatto sul settore DeFi

Al momento dell’incidente, oltre 450 pool di liquidità stavano utilizzando versioni vulnerabili di Vyper. Pertanto, il numero delle vittime e l’entità delle perdite avrebbero potuto essere significativamente più alti.

L’incidente ha colpito i progetti Alchemix, JPEG’s, MetronomeDAO, Ellipsis e deBridge.

I pool più colpiti sono stati:

• pETH/ETH, il danno è stato di 6106.65 WETH;
• msETH/ETH - 866.55 WETH~ 1,6 milioni di dollari) e 959.71 msETH
• alETH/ETH - 7258.7 WETH~milioni milioni) e 4821.55;
• CRV/ETH - 7,193,401.77 CRV~ 5,1 milioni di dollari al momento dell’incidente), 7680.49 WETH~ 14,2 milioni di dollari) e 2879.65 ETH

Inoltre, il pool Arbitrum Tri-Crypto potrebbe essere stato interessato. I revisori e gli sviluppatori di Vyper non hanno potuto confermare l’exploit, ma il team di Curve ha consigliato ai fornitori di liquidità di uscire in via precauzionale.

Nonostante l’impossibilità di implementare misure di emergenza della DAO per fermare il pool o incidere sui fondi degli utenti, era possibile sospendere l’emissione di ulteriori CRV. Michael Egorov, fondatore di Curve Finance, ha dichiarato a Bloomberg che il settore DeFi sopravviverà all’hack. 

Reazioni dei media e della community

Tweet che hanno aggravato l’incidente

Nei primi minuti successivi all’hack, gli analisti di BlockSec e PeckShieldAlert hanno condiviso su X (ex Twitter) estratti del compilatore Vyper open source. Questi estratti hanno rivelato i dettagli specifici della vulnerabilità.

Questi tweet hanno offerto l’opportunità a hacker terzi di “unirsi all’hack” e hanno peggiorato la situazione. Tali azioni sono state condannate dalla community e i post originali sono stati eliminati.

Dopo aver affrontato un’ondata di critiche, i rappresentanti di BlockSec hanno risposto affermando che la loro decisione di pubblicare un tweet contenente i dettagli dell’attacco era motivata dall’urgenza di avvisare rapidamente la community, poiché il team di Curve Finance non era reperibile.

Almeno in parte a causa dell’attività su Twitter, i pool sono stati presi di mira da molteplici ladri. Tuttavia, tra loro c’erano hacker “white hat”, grazie ai quali il progetto ha recuperato alcuni fondi rubati. White Hat, operativo con il nickname c0ffeebabe.eth, ha restituito 2.879 ETH (del valore di circa 5,4 milioni di dollari) al protocollo di finanza decentralizzata (DeFi) Curve Finance. Il denaro era stato sottratto dal pool di liquidità CRV-ETH durante l’exploit.

Utilizzando il bot MEV, il difensore è riuscito a precedere l’attaccante, proteggendo 2879 ETH. In seguito ha restituito questa somma a Curve, secondo i dati più recenti.

Tuttavia, l’importo restituito è solo una frazione del totale rubato. In totale, la vulnerabilità di Curve Finance ha permesso ai truffatori di accedere ad asset per un valore superiore a 47 milioni di dollari. Inoltre, le vulnerabilità di Vyper hanno permesso agli attaccanti di condurre un attacco simile sulla blockchain dell’exchange di criptovalute Binance - BNB Smart Chain (BSC).

Opinioni dei membri della community

In generale, al momento dell’incidente, si è detto che una situazione del genere avrebbe potuto causare un panico senza precedenti e una diminuzione della liquidità nel settore DeFi. Tuttavia, sembra che le cose siano tornate sulla buona strada per Curve Finance. Il problema del compilatore è ora stato risolto. Gli sviluppatori hanno chiarito che l’attaccante ha dovuto “esaminare a fondo” la cronologia delle versioni per trovare questo problema non immediatamente ovvio.

Gli analisti di JPMorgan hanno concluso che le conseguenze dell’attacco a Curve sull’ecosistema DeFi sembrano localizzate.

Un ricercatore DeFi, soprannominato Ignas, ha affermato che l’incidente di Curve Finance “ha minato la fiducia nella finanza decentralizzata”.

“Se un protocollo che è stato operativo senza problemi per tre anni subisce improvvisamente un exploit, ciò solleva dubbi sulla sicurezza di altre piattaforme consolidate come AAVE, Compound o persino Uniswap.” Ha aggiunto che esistono rischi significativi legati all’hacking di Uniswap v4 a causa del suo design monolitico di smart contract, poiché tutti gli asset diventerebbero istantaneamente vulnerabili.

Ignas ha osservato che diversi protocolli, i cui asset sintetici dipendono dalla liquidità del token CRV, potrebbero avere debiti verso gli utenti. In particolare, ha menzionato la liquidazione di CRV, AAVE, Frax e Abracadabra, per un totale di 100 milioni di dollari, in seguito all’attacco. Inoltre, a suo avviso, l’incidente potrebbe rallentare l’adozione istituzionale della DeFi.

Allo stesso tempo, Rune Christensen, co-fondatore di MakerDAO, ritiene che il recente exploit in Curve Finance sarà il “crollo finale” prima che il mercato delle criptovalute registri una nuova crescita. Il fondatore di Nostra, David Garay, è d’accordo con lui: “Potrebbe anche essere un punto di svolta in cui i protocolli di lending iniziano finalmente a monitorare in modo proattivo la liquidità online per ogni specifico tipo di collaterale.”

Il hacker di Curve restituisce alcuni asset rubati

Curve Finance ha offerto una ricompensa di 1,85 milioni di dollari per identificare gli hacker che hanno violato la piattaforma e portarli a processo. Presto, un hacker sconosciuto ha avviato un rimborso. Al momento della stesura, aveva restituito asset per un valore superiore a 20 milioni di dollari.

Nel messaggio relativo alla transazione, l’hacker ha spiegato che la sua decisione non era dettata dalla paura di essere scoperto. Piuttosto, era motivata dalla sua riluttanza a distruggere il progetto. Anche il progetto JPEG’s ha confermato la restituzione di 5.494 WETH (oltre 10 milioni di dollari). L’hacker ha ricevuto una ricompensa del 10% pari a 610.6 WETH (1,1 milioni di dollari).

Conclusione

Considerato l’ampio utilizzo di CRV come asset collaterale, la cascata di liquidazioni potrebbe rappresentare una sfida significativa per il settore DeFi. Questo settore deve ancora riprendersi completamente da un prolungato bear market.

Ma sembra che gli sviluppatori abbiano contenuto i danni causati da questo hack. Inoltre, il CEO di Curve, Mikhail Egorov, ha preso in mano la situazione, liquidando i propri asset per saldare i debiti ed evitare un crollo della DeFi. 

Sfortunatamente, non tutte le storie sulle criptovalute hanno un lieto fine. CertiK afferma che solo nel secondo trimestre del 2023 sono stati commessi furti per un valore di 313,6 milioni di dollari. Di questi, meno della metà è stata restituita e la maggior parte dei crimini non è ancora stata risolta.