Exploit e vulnerabilità della DeFi

Partiamo dall’evento che ha generato tutto questo caos: l’exploit di Curve.

Nella giornata del 30 Luglio 2023, un hacker ha sfruttato la vulnerabilità di alcuni pool di Curve, contenuta nel linguaggio di programmazione Vyper che va dalla versione 0.2.15 alla versione 0.3.0, tramite un meccanismo di reentrancy lock.

Attraverso questa debolezza, l’hacker ha potuto drenare una parte dei 69M$ da diversi pool di Curve:

• CRV/ETH ( 24.2M$ dall’hacker e 5.4$ da “0xc0ffebabe” un whitehat hacker che ha reso i fondi);
• pETH/ETH (11.5M$ dall’hacker);
• alETH/ETH (20.5M$ dall’hacker);
• msETH/ETH ( 1.6M$ tramite un frontrun attack sempre da parte di “0xc0ffebabe”, attraverso un MEV BOT e restituendo poi i fondi);

Oltre a far perdere il peg a numerose versioni liquide di ETH, ciò ha anche ridotto di molto la liquidità del primo pool in assoluto del token CRV (CRV/ETH).

Questo punto è molto importante per riuscire a comprendere i problemi che arriveranno successivamente.

Ovviamente, questo drenaggio di liquidità, oltre a creare un forte malcontento nei liquidity provider e alle DAO che hanno fornito asset a questi pool, ha anche ridotto di molto la liquidabilità dell’asset Curve.

Noi piccoli investitori poco spesso ci preoccupiamo dello slippage o dell’assenza di liquidità. In fondo, quando tradiamo con i nostri 100, 1000 o 10.000$, non riusciamo quasi mai a muovere il prezzo di un asset. Ma per le whale è molto importante che l’asset sia liquido; altrimenti, oltre a incorrere in un’altissima commissione data dallo slippage, potrebbero anche non poterlo tradare.

Immaginiamo il pool CRV/ETH di Curve come un grosso magazzino che consente di avere al suo interno asset per 30M$.

Se domani una whale volesse acquistare 3M$ di CRV con ETH, potrebbe farlo poichè il magazzino è 10 volte tanto la sua posizione. Effettivamente, il pool contiene 15M$ di CRV e 15M$ di ETH. Quindi, dopo il suo scambio, il pool ospiterebbe 12M$ di CRV e 18M$ di ETH.

Purtroppo, dopo che l’hacker ha drenato gran parte della liquidità e i vari liquidity provider hanno perso fiducia in Curve, il magazzino si è ridotto di molto arrivando ad avere meno di 1M$.

A questo punto, qualsiasi Whale che volesse scambiare questi due asset fra di loro dovrebbe utilizzare delle size più piccole, oppure optare per un altro pool. Il secondo pool più grande in termini di TVL è quello creato su Uniswap, ossia CRV/ETH 0.3% (2.2M$).

Questa assenza di liquidità nei principali pool che consentono lo scambio di CRV crea un grosso problema per il token CRV. Esso è diventato un asset molto illiquido on-chain e che quindi non potrà essere acquistato o venduto in grosse quantità.

Crollo del prezzo di CRV e funzionamento del token

Dopo l’exploit e il drenaggio di liquidità da parte dell’hacker, molte persone hanno avuto paura che questo potesse accadere anche in altri pool di Curve, andando così a prelevare gran parte della liquidità sul protocollo. Il TVL complessivo è passato da 3.3B$ agli attuali 1.7B$, perdendo quasi il 50% della liquidità complessiva. Il solito discorso si è poi propagato in maniera simile o inferiore anche sui vari booster di Curve, ossia Convex, Yearn, StakeDAO ecc…

Tutta questa sfiducia ha portato di conseguenza i token dei vari protocolli, soprattutto $CRV, ad avere un massivo sell-off a mercato. Questo ha fatto crollare il prezzo da un valore iniziale di 0,7$ a meno di 0,5$, una contrazione di quasi il -35%.

Di base, il prezzo di un asset non incide molto sul valore che ha un protocollo, ma per quanto riguarda Curve questo discorso non regge.

La motivazione principale è il reward dei propri liquidity provider.

Gran parte dei DEX hanno un programma di liquidity mining per chiunque decida di fornire liquidità alla piattaforma e le permetta di funzionare.

Curve decide ogni due settimane di emettere, per esempio, 100.000 CRV a mercato e di destinarli verso diversi pool della propria piattaforma. Ovviamente, chi riceve più token avrà maggiori incentivi e così aumenterà la possibilità di attrarre più TVL nei pool, che porterà inevitabilmente a maggiori trade a causa di una ridotta presenza di slippage.

Questo è ciò che da il via al meccanismo del bribing (mazzette). In breve, esso consiste nella vendita del potere di voto dato dal token veCRV per decidere a quale pool destinare maggiore quantità di token per le prossime due settimane. Se volete avere una visione più chiara di come funzionano le bribe, le Curve Wars e i vari booster ecco un articolo scritto tempo fa.

Adesso che abbiamo chiarito questo punto diventa evidente come il prezzo di CRV sia essenziale per il protocollo. Senza di esso, dando le solite reward in termini quantitativi, si troverà a pagare un valore inferiore ai propri liquidity provider.

Il prestito di Michael Egorov e la debolezza di AAVE

Ovviamente, quando succede un fatto drammatico, uno peggiore è sempre ad aspettare dietro l’angolo. Così è stato anche in questo contesto.

A complicare tutta questa vicenda c’è un enorme debito del CEO di Curve, tale Michael Egorov, che possiede una grandissima quantità di CRV (quasi il 50% della circulating supply!). Non potendoli dumpare a mercato, egli ha deciso qualche anno fa di collateralizzarli sui principali protocolli di lending come:

• AAVE (55M$ di debito);
• Fraxlend(10M$ di debito);
• Abracadabra(12M$ di debito);
• Inverse Finance (7M$ di debito);
• Altre posizioni minori.

Totale: circa 85M$ sotto forma di diverse stablecoin. Grazie a questi capitali, Michael e sua moglie hanno potuto acquistare numerose proprietà immobiliari in Australia che, senza nemmeno doverlo spiegare, non sono facilmente liquidabili per questi protocolli di DeFi. E infatti, il problema attuale è dato proprio dal rischio di liquidazione.

Se il prezzo di CRV dovesse raggiungere un livello che va da 0,4$ a 0,37$, porterebbe gran parte delle sue posizioni a essere vendute a mercato, innescando la sua liquidazione.

Di base questo non sarebbe un grosso problema, perchè l’asset collaterale, in questo caso CRV, sarebbe venduto a mercato per ripagare il debito e mantenere la piattaforma di lending solvente.

In questo caso il prezzo di CRV subirebbe un dump e Michael perderebbe una parte del proprio capitale, ma le varie piattaforme di lending ne beneficerebbero guadagnando una parte della sua perdita.

Purtroppo però la situazione di CRV è compromessa: il pool maggiormente utilizzato da questi protocolli per liquidare, e quindi convertire CRV in ETH o in asset stabili, è stato svuotato. Ciò rende CRV un token “parzialmente illiquido”; di conseguenza, se ci fosse un grosso dump della moneta, queste piattaforme non avrebbero una controparte per ripagare il debito trovandosi a dover creare del bad debt.

Un fatto molto simile era gia successo qualche mese fa, sempre attraverso AAVE e sfruttando questa grossa posizione di Michael. Ai tempi, Avraham Eisenberg, colui che si era gia fatto una certa notorietà exploitando Mango Markets per 100M$( una piattaforma di lending su Solana), aveva preso in prestito 88 Milioni di CRV su AAVE, per poi shortarli a mercato.

Ciò avrebbe innescato un forte dump su CRV che avrebbe giocato a favore di Avrahm nel modo che stiamo rivedendo in queste giornate. L’assenza di un pool in grado di consentire la totale liquidazione di un asset innesca un processo di slippage molto acuto, in grado di smuovere rapidamente il prezzo di un token da una parte o dall’altra.

Dopo questa operazione, molte persone che cercavano di tutelare gli interessi della DeFi su Ethereum cominciarono ad acquistare CRV, impedendo la liquidazione di Michael e portando invece la posizione opposta di Avraham alla liquidazione su AAVE.

Alcuni pensano quindi che l’exploiter abbia fallito nel suo intento e che abbia perso 5M$ dalla sua giocata speculativa. Tuttavia, da alcuni dati on-chain è palese che l’exploiter ha portato parte della liquidità acquisita dalla vendita dei CRV a mercato all’interno di alcuni CEX. Da qui dobbiamo trarre delle ipotesi basate dalla logica; è probabile che Avraham abbia sfruttato il pump di CRV dopo il crollo per prendere profitto e cavalcare la risalita del token, guadagnando molto più di quello che aveva perso tramite la liquidazione fatta da AAVE.

In ogni caso, non è importante sapere se in quelle giornate l’exploiter abbia guadagnato o meno, ma che ciò aveva già messo in luce una debolezza di AAVE che non è stata risolta. Peggio: essa è stata sfruttata ancora a suo svantaggio.

Il fatto che AAVE o altre piattaforme di lending possano dare la possibilità ai propri utenti di collateralizzare delle grosse posizioni tramite asset illiquidi è un problema. Ciò potrebbe portare il debito a non essere ripagato, obbligando la piattaforma stessa a utilizzare parte della propria treasury/fondo d’emergenza.

In assenza di questo fondo, invece, la piattaforma dovrà farsi carico di questo bad debt e quindi a far perdere ai propri utenti parte della liquidità depositata.

Ma quindi a che punto siamo? E qual è l’attuale situazione di Michael Egorov?

Attraverso questo link potete seguire e analizzare on-chain l’attuale situazione del CEO di Curve.

Cosa stanno facendo gli attori coinvolti?

I vari protocolli di lending coinvolti stanno gia prendendo delle precauzioni per “forzare” Michael Egorov a ripagare il debito.

Piattaforme come Fraxlend si tutelano da questi casi utilizzando un metodo di aumento del tasso d’interesse chiamato Time-Weighted Variable Interest Rate. Essenzialmente, questo meccanismo raddoppia l’interesse sul debito preso in prestito ogni 12 ore se il market’s utilization rate rimane del 100%.

Qua sotto una tabella che permette di vedere l’aumento del tasso d’interesse ogni mezza giornata:

È molto probabile che, a causa della sfiducia di questa posizione e per via dell’illiquidità del token CRV, non molte persone metteranno della liquidità su Fraxlend. In questo modo Michael Egorov dovrà ripagare il proprio debito, altrimenti l’interesse raddoppiera ogni giorno finché arriverà quasi a superare il controvalore del collaterale, innescando comunque la liquidazione.

Piattaforme come Abracadabra invece non hanno questo meccanismo di aumento esponenziale del tasso d’interesse. Ci stanno però arrivando attraverso una proposal più light, dopo che quella precedente era stata respinta.

Inverse finance, a differenza delle piattaforme di lending viste in precedenza, adotta il tasso fisso. Sembra quindi che stia optando per una soluzione che comprende il deposito di altro collaterale da parte dell’entità che ha preso il prestito. In questo modo si può aumentare il periodo di ripagamento del debito, mantenendo il solito tasso d’interesse.

In tutto ciò, AAVE sta pensando a una serie di proposal che possano forzare Michael Egorov a ripagare il debito. Ma soprattutto, a rischiare meno l’ipotesi di liquidazione che porterebbe inevitabilmente al famoso e tanto agognato cigno nero.

Ma in tutto ciò, come si sta comportando il debitore?

La prima cosa che ha fatto Michael, in quanto CEO di Curve, è stata quella di creare un pool sul protocollo da lui ideato, composto da crvUSD e CRV/FRAX LP. Il tutto è stato incentivato con 100k di CRV come reward. Se non sai cos’è crvUSD e come funziona, ecco un articolo per comprendere questa nuova tipologia di stablecoin.

L’obiettivo della creazione di questo pool è quello di incentivare il raccoglimento di liquidità verso Fraxlend. In questo modo si abbasserebbe il tasso di utilizzo della posizione di debito della piattaforma di lending.

Dopo poche ore dal lancio, il pool ha “catturato” circa 2 milioni di dollari, riducendo di fatto il tasso di utilizzo della posizione su FRAX all’89% e non consentendo al tasso di interesse di raddoppiare ogni 12 ore (furbo il ragazzo).

L’altra mossa fatta da Michael, un po’ meno smart della precedente ma obbligata, è stata quella di vendere CRV tramite sell OTC (over-the-counter), ossia tramite accordi presi off-chain. Così facendo non si muove verso il basso il prezzo di una moneta. Questi eventi possono essere seguiti tramite i dati on-chain.

Le persone che li stanno acquistando non sono di poco conto e soprattutto non lo stanno facendo con capitali ridotti.

Al momento la lista è lunga: si contano 13 investitori e il numero di CRV venduti ammonta a 59.5M. Qua sotto possiamo vedere l’elenco condiviso dalla pagina Twitter “lookonchain”

Secondo il calcolo che viene fuori da queste quantità (23.8M$/59.5 CRV) sembra che il prezzo di vendita di questi token OTC sia di 0,4$.

Non sono chiare invece le dinamiche o i vincoli che “obbligano” gli acquirenti a detenere i token per un certo periodo di tempo.

Secondo i rumors emersi, l’obbligo è di mantenere i token CRV per almeno 6 mesi, o finché il prezzo non raddoppi rispetto a quello di acquisto, arrivando quindi a 0,8$. Tuttavia, è importante capire che in quanto la vendita è avvenuta OTC, non ci sono regole scritte ne smart contract che possano tutelare lo scambio. Di conseguenza, non è detto che le cose andranno in questo modo.

Con parte dei capitali raccolti, sembra che Egorov stia ripagando le varie piattaforme di lending, partendo da AAVE con un “repay” di circa 3M$.

Oltre a questo, pare che ci sia anche una proposal da parte di uno dei primi investitori di AAVE di acquistare un parte di CRV. In questo modo si andrebbero a prendere due piccioni con una fava: salvare la situazione a rischio cigno nero e nel contempo aumentare il potere della DAO nei confronti di Curve.

Continuiamo a monitorare la situazione aggiornandovi costantemente tramite la nostra piattaforma Telegram.

Conclusione

La situazione sembra non essersi ancora risolta e anche se dovesse farlo altri cigni neri potrebbero aspettarci dietro l’angolo. Per questa motivazione, è sempre importante non dare per scontato che la DeFi, anche la più “anziana”, NON è priva di rischi.

La diversificazione del nostro capitale, degli asset e delle piattaforme sono sempre da considerare e non dare mai per scontato. Esattamente come la valutazione del risk e del money management.

Naturalmente, si tratta di situazioni sono fondamentali per la DeFi e per l’intero ecosistema. Se queste portassero mai a un collasso, vorrebbe dire che la tecnologia stessa non era ancora pronta per raggiungere la mass adoption. Esattamente come quando costruiamo un castello di carte e con un singolo colpo questo viene giù. Il problema non è il colpo, ma l’assenza di fondamenta e di resilienza.

Questa situazione deve insegnare delle cose a noi e anche alla DeFi che (spero) prenda dei provvedimenti per evitare di finire di nuovo sotto scacco con l’ennesima vicenda di estrema illiquidità di un asset.

Il concetto di evoluzione Darwiniana nella DeFi è portato all’ennesima potenza. Per questo motivo, molti protocolli falliscono e falliranno per il successo dell’intera tecnologia.

In questo caso, il Time-Weighted Variable Interest Rate di Fraxlend sembra aver tuttelato la piattaforma e i suoi liquidity provider, punendo il debitore e obbligandolo a ripagare la totalità o parte del debito. Questo potrebbe cambiare le cose per le altre piattaforme di lending che, comprendendone la potenzialità, potrebbero modificare il loro meccanismo di difesa.

E così via finche non raggiungeremo una situazione che potrà ridurre questi errori al minimo.