Nansen 鏈上取證：揭開 UST 脫錨真相_CUR:LP renBTC Curve

撰文：Nansen

編譯：ForesightNews

Nansen的研究小組深入研究了UST的脫錨問題，并利用鏈上追蹤的結果打破了網上流傳的Terra網絡崩潰是單一惡意攻擊者所為的謠言。

調查結果總結

我們通過鏈上調查發現，少數巨鯨在UST脫錨初期就發現了漏洞，特別是TerraUSD與其他穩定幣掛鉤的Curvepools相對較淺的流動性，并通過以下方式利用了這些漏洞。

1.從Terra的Anchor協議中提取UST資金

2.通過Wormhole跨鏈基礎設施將這些資金從Terra橋接到以太坊。

3.將大量的UST換成Curve的流動性池中的其他穩定幣，以及在脫錨過程中，通過在CEX和DEX市場之間非有效性的價差，在各種定價來源之間套利。

因此，我們找到了有一個「攻擊者」或「黑客」的破壞導致UST脫錨的流行說法站不住腳的有力證據。UST的脫錨可能是由幾個資金充足的實體的撤資避險所致。

間接

鑒于UST脫錨的突然性，許多市場參與者，無論是否直接受到影響，都急于了解導致UST失去掛鉤的一系列事件。為了揭示這些事件，Nansen編制了一份深入的報告，利用Terra和Ethereum的鏈上數據，重現了本月初導致算法穩定幣失去與美元掛鉤的鏈上歷史。

在可能的情況下，我們希望給出一個有鏈上證據支持的客觀描述。此外，我們利用Nansen的標簽方法為錢包添加了一些視覺區分，并標記了那些在鏈上的行為可能影響了脫錨機制的實體。

本研究不包括可能導致UST失去掛鉤的潛在鏈外事件。對投資者的影響，錢包之間凈損失的細分，以及支持UST的BTC儲備發生了什么問題都不在本報告的討論范圍之內。

鏈上痕跡追蹤

簡單來說，我們將鏈上分析定義為使用區塊鏈賬本的信息來確定與UST去掛鉤相關的一系列事件的方法。更具體地說，鏈上分析涉及查看交易數據和加密貨幣錢包活動--這兩個數據來源在試圖拼湊圍繞取消掛鉤的事件時很有用。

我們使用基礎理論方法開始研究，相關的交易量數據告知了研究的范圍。通過對社交媒體和論壇主題等灰色文獻的審查，我們縮小了研究范圍，重點關注2022年5月7日至5月11日之間的交易數據。對灰色文獻的專題分析結果強調了這一時期交易流活動對Curve流動性池的重要性，這反過來又為我們進行分析的順序提供了依據。

我們的分析分三個階段進行。

在第一階段，我們分析了進出Curve借貸協議的交易流。我們編制了一個錢包的名單，這些錢包的交易活動表明它們可能影響了UST的脫錨。

第二階段的分析包括三個部分：i）我們觀察了任何可能導致UST脫錨的Wormhole橋的跨鏈交易；ii）我們審查了UST從Anchor協議的流出，涉及被觀察的錢包名單；iii）我們調查了UST和USDC在中心化交易所的銷售情況。

第三階段的分析涉及到對這些綜合鏈上證據的三角分析，這使我們能夠將相關活動拼湊在一起，并制定一個解釋UST脫錨的敘述。我們還確定了七個最有可能在UST脫錨事件中發揮重要作用的錢包名單：

0x8d47f08ebc5554504742f547eb721a43d4947d0a(EIP1559User)

0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c(Celsius)

0x1df8ea15bb725e110118f031e8e71b91abaa2a06(hs0327.eth)

0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232(HeavyDexTrader)

CZ：Binance將在接下來幾小時/幾天內對所有冷錢包地址執行BTC大額轉移操作:金色財經報道，Binance首席執行官CZ在社交媒體上表示，作為儲備金審計的一部分，Binance將在接下來的幾個小時/幾天內對所有冷錢包地址執行BTC大額轉移操作，有些不會觸發Whale Alert警報，有些則可能觸發，完全取決于輸入地址，希望Whale Alert的報告可疑“更聰明些”。此前CZ表示，審計員要求Binance向自己發生特定BTC金額已表明其控制了錢包。[2022/11/28 21:07:54]

0x41339d9825963515e5705df8d3b0ea98105ebb1c(SmartLP:0x413)

0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69(TokenMillionaire/HeavyDexTrader)

0x9f705ff1da72ed334f0e80f90aae5644f5cd7784(TokenMillionaire)

Curve上的爭奪

我們從以太坊上的Curve去中心化交易所協議開始進行鏈上分析，因為我們的灰色文獻審查表明它是UST脫錨事件的「起點」。Twitter社交媒體提出的假設是，Curve上的UST-3pool，一個允許UST被換成USDC/DAI/USDT的流動性池，被一個主要的「行為者」耗盡了流動性，他是導致脫錨的主要原因。

圖1：UST在Curve池上余額凈值

當檢查UST流入和流出Curve池時，有兩個時間段的情況非常突出。2022年3月和最近的5月7日至5月11日的時間段。我們特別關注UST的流入，因為UST脫錨據說是由于UST與其他穩定幣的過度交換造成的，至少最初是這樣。

我們發現在2022年3月，有多筆超過6000萬的UST代幣流入Curve。盡管有這種流量波動，UST的幣價在2022年3月并沒有明顯偏離平價。

圖2：2022年1月至4月UST價格圖

在5月7日和5月8日之間，我們觀察到UST偏離了與美元的錨定，我們估計在那之后不久，取消掛鉤的消息開始在社交媒體上傳播。

我們根據時間戳和錢包專門掃描了早期和異常大的UST流入Curve的情況，以及同一錢包的重復流入，或者如果我們能發現一個「網絡」的錢包累積到同一個「實體」。

圖3：2022年5月7日至5月8日UST價格圖

圖4：DoKwon的個人Twitter截圖，2022年5月8日

我們繪制了流向Curve資金池匯總的時間序列圖。

圖5：從脫錨的第一個跡象到Twitter新聞流的累積凈流量，按時間戳匯總到Curve池中

Element Finance推出Voting Vaults，允許用戶在鎖定代幣的情況下參與治理:據官方消息，Element Finance推出了一個來自Council Protocol的新治理原語——Voting Vaults。如果用戶將他們的治理代幣作為抵押品質押到Compound或AAVE中，他們仍然可以投票和參與治理。這可以應用于任何需要鎖定代幣的地方，例如AMM或生成收益的vault。Voting Vaults允許用戶參與治理，同時仍能將這些資產用于DeFi的任何其他目的，從而最大化資本效率。

此外，Voting Vaults還擴展到許多其他用例。從本質上講，Voting Vaults定義了一種構成投票的策略。它們引入了一種新的治理方式，只是Council Protocol可以考慮和追求的許多方法之一，目的是減少巨鯨統治和增加選民參與度。

新的原語使得去中心化成為可能，它將投票權交到許多人手中，并且即使用戶的代幣被鎖定在其他平臺上，用戶也可以投票。[2022/2/12 9:47:30]

大約在5月7日21:44至5月8日5:35期間，UST流入和流出之間的戰斗似乎加劇了。

5月7日21:44UTC，一個與LunaFoundationGuard有關的錢包從Curve撤回了大約150百萬的UST。隨后，一個地址流入了約8500萬UST。

四個地址中，其中一個與Celsius有關，緊隨其后，大約有1.05億的UST凈流入Curve。LFG和相關的「錨定保衛」錢包以1.896億美元的提現量進行護盤，來回折騰持續到5月8日上午。

圖6：流向Curve的UST凈流量時間表，以及當時UST交易量最大錢包地址

我們觀察到，少數錢包對Curve發起了攻勢。這一點在5月7日和5月8日期間按錢包地址匯總的凈流量中得到了證實。在5月7日和5月8日期間，按凈流量排名前18位的錢包占了該期間流入Curve的UST總額的77%。在圖7的右邊最后一欄，我們根據兩個標準標記了錢包：在5月8日上午之前至少有一些活動+在5月7日至5月8日期間有大量的聚合存款。

圖7：2022年5月7日和5月8日流向Curve實體的UST凈流量，按錢包分類的最高流入量

以下四個地址是通過1inchDEX聚合器流入Curve的最大流入量來源：

0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81(D1),mainlabel:masknft.eth

0x4f5f3d3f8eb2896e0e865cde934fe5103f979771(D2),mainlabels:HeavyDexTrader,NFTCollector

0x1df8ea15bb725e110118f031e8e71b91abaa2a06?(D3),mainlabel:hs0327.eth

0x66b870ddf78c975af5cd8edc6de25eca81791de1(K),mainlabel:Oapital(alsointeractedwithCurvedirectly)

其他錢包通過Curve進行了大量的交易，盡管稍晚一些。錢包0x99fd1378ca799ed6772fe7bcdc9b30b389518962，我們已經確定為與Hodlnaut有關的錢包，是這些「早期追隨者」的一個例子。

Harvest Finance提案建議將4月底開始釋放的vest SUSHI鎖定1年:官方消息， DeFi收益聚合協議Harvest Finance在SushiSwap社區發起提案表示，積累了三分之二的vest SUSHI，這些SUSHI將在4月底開始釋放，持續6個月左右。Harvest提議，Merkle分發者申領SUSHI，并將其鎖定1年，和進行2年的vesting。Harvest希望SushiSwap社區和質押者執行此想法。此前消息，在2020年底，SushiSwap將回購嵌入合約、部分挖礦收益Vesting 6個月。[2021/3/22 19:07:25]

然后，我們將上面標記的錢包與Terra和Wormhole橋的數據進行交叉對比，以完善可能對UST脫錨有貢獻的錢包的范圍。

大額資金從Anchor流出的預警信號

圖8：5月7日至5月10日，按標記的錢包地址劃分，Anchor上的大額資金流出

在5月7日至10日期間，我們觀察到，從Anchor流出的UST最多的錢包通過8次交易共提取了超過3.47億UST。總的來說，前20個地址通過總共5051次交易從Anchor提取了總共20億的UST。

分析UST從Anchor流出的情況發現，許多我們之前標記的Curve交換錢包早在2022年4月就開始從Anchor提取UST代幣。然而，涉及這些錢包的從Anchor的提款量的飆升真正開始于今年4月中旬。

我們明顯發現，錢包terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea在Curve部分標記的）在4月1日至5月6日從Anchor提取的UST最多。

圖9：按Terra錢包和相關以太坊地址統計的Anchor流出量

對Anchor流出的進一步分析強調了兩個錢包地址的重要性，它們對UST的去Peg產生了重大影響。

?terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k(0x8d47f08ebc5554504742f547eb721a43d4947d0aonEthereum,ortheCurveUSTinflow「initiator」(A))

?terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc(0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781corCelsius(B))

這兩個被確認的錢包在脫錨事件期間從Anchor協議發起了大量的資金外流，在15筆交易中共有約4.2億UST。當與從Terra到Ethereum的UST橋接進行交叉對比時，這兩個錢包是通過Wormhole橋接的頂級錢包。

更早的先兆信號：從Terra到Ethereum的UST橋梁

從Wormhole的UST代幣余額來看，4月份有輕微的增長，隨后從5月5日開始大幅上升，就在脫錨的前幾天。

圖11：UST的價格和數量隨時間變化

通過比較上圖顯示的UST的價格和交易量，我們發現5月8日的交易量明顯增加，與該代幣最初的價值損失同步。同樣，從Terra到Ethereum的歷史轉賬也在相同的日期前后顯示出明顯的活動。下面看到的峰值表明，大量的UST在脫錨期間通過跨鏈橋離場。

Yearn.finance: 正在處理ENM被盜資產退還事宜:9月30日，Yearn.finance官方發推稱，目前正在處理ENM項目資產返還事宜。9月29日消息，yearn.finance創始人Andre Cronje新推出的ENM項目遭遇Flash貸款攻擊，有800萬美金被盜資金被發送到Andre本人的yearn: deployer賬號。隨后，Andre Cronje計劃退還800萬美元被盜資金。[2020/9/30]

圖12：每天向以太坊轉賬

在分析5月5日至5月8日的交易時，我們發現在此期間有984個獨特的Terra錢包地址活躍。大部分的交易量集中在幾個錢包里。例如，前10個錢包地址的交易量占該時間段內轉移的UST總量的57%以上。

此外，我們觀察到，前10名錢包之間的凈流量分布也明顯不平衡。排名第一和第十的錢包之間的轉移總額相差超過1.44億UST。圖13描述了觀察期內最活躍的前10個錢包地址。

圖13：5月5日至5月8日，按交易額計算，從Terra到Ethereum的前10個錢包(UST)。

深挖可疑的錢包

根據鏈上數據，我們發現這些錢包在Terra上時主要與Anchor協議互動。在從Terra橋接到Ethereum后，他們與Curve和1inch進行了互動。

下面，我們將介紹一些在UST脫錨前不久在Wormhole橋上記錄了大量交易的可疑錢包。

1.0x8d47f08ebc5554504742f547eb721a43d4947d0a(A)(SeeFigure7)

這個錢包是在不久前創建的，然后在5月7日部署。

所有的交易記錄大多與UST和USDC有關，并在5月9日停止。最值得注意的交易是在5月7日將價值超過8500萬的UST與以太坊連接起來。這些代幣隨后被發送到Curve，并被換成了大約8450萬的USDC。

我們可以將該錢包與Terra的「姐妹」地址聯系起來，這是在5月5日至5月8日將UST橋接到以太坊的頂級錢包之一。正如我們在Anchor分析中發現的那樣，該錢包在5月7日至5月10日期間負責從Anchor流出10筆資金，金額約為1.93億美元。

2.0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c(B)orCelsius(seeFigure7)

這個錢包從2022年4月下旬開始活躍。在4月21日至25日期間，它將約1.38億UST代幣橋接到Terra。值得注意的是，該錢包在5月7日將1.75億UST從Terra橋接到以太坊。從相應Terra地址接收資金的錢包是0xf642ea51c645c48196d9831a5937e95b0e9b4f7f。然后它在同一天將資金發送到另一個地址。在這個錢包的資金中，有1.25億被分批換成了Curve上的USDC，數量為2500萬。根據Nansen的數據，Celsius是一個密切的交易方，曾向這個錢包發送和接收資金。

yearn.finance：50%系統獎勵已分配給治理，即將投票決定是否分配為運營費用:DeFi聚合收益協議yearn.finance發推稱，50%的系統獎勵已分配給治理。是否將系統獎勵分配為運營費用有待表決。投票將在本周進行。[2020/8/10]

根據鏈上數據，我們還可以將該錢包與以下Terra地址terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc聯系起來，該錢包是5月5日至5月8日從Terra橋接USDT的頂級錢包。該錢包還與Anchor進行了互動，從4月底開始提取資金。

3.0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81(D1)ormasknft.eth(seeTheBattleoftheCurve)

這個錢包從2021年12月開始進行了超過62筆交易。從4月初到5月8日，這個錢包將價值超過7900萬的UST橋接到以太坊，然后通過1inchaggregator的幾筆交易主要換成了USDC。

這個錢包與terra1cn2fh0k8f5ywzjl2s947xrpdnnerfnkg9qg2r7有關，我們在分析AnchorProtocol時也強調了這個錢包。

4.0x1df8ea15bb725e110118f031e8e71b91abaa2a06(D3)orhs0327.eth(seeTheBattleoftheCurve)

同樣，這個錢包通過Wormhole收到了很多交易，有的早在1月份就收到了。5月8日，它在一次1-1.5M的UST交易中，將價值剛過2000萬的UST橋接到以太坊。這相當于在此期間總流出量的1.6%。

這個錢包與terra1vlel4dpqldcwm7ztre3k03apcldeawpq98rah0有關，該錢包在2月和3月還將交易橋接到另一個以太坊地址0x6524b211ef8e4baf346f1b780b08a3811ee9f3cd。值得注意的是，與其他錢包相比，該錢包提前退出了安科，其最新的交易是在5月1日。

5.0x41339d9825963515e5705df8d3b0ea98105ebb1c(H)orSmartLP0x413(Figure7)

根據Nansen的標簽，這個錢包是SmartLP。這個錢包橋接了大約880萬，然后又將價值3000萬的UST橋接到Terra。此外，它在4月27日和5月8日分別以1000萬和2000萬的交易將大約相同的金額嫁接到以太坊。2千萬的UST交易可以追溯到Curve，該錢包將2千萬的UST換成了USDC。

該錢包與terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea有關。在我們對AnchorProtocol的分析中也發現了它，在整個4月和5月都有交易。5月7日之后，它似乎已經完全退出了Anchor。

6.0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69?(F)orTokenMillionaire/HeavyDexTrader(見圖7)

根據Nansen的標簽，這個錢包是一個TokenMillionaire。這是一個相當新的錢包，在2022年3月底才開始交易，與阿爾法金融實驗室相關的錢包有互動。該錢包僅在5月8日記錄了從Terra到以太坊的交易。這些交易總價值約為3000萬的UST，然后在3個獨立的交易中被換成了Curve的USDC。該錢包與terra17mh65gqelelxu9r5fyz9l56mx60zdg274fwe40有關。

7.0x9f705ff1da72ed334f0e80f90aae5644f5cd7784(J)orTokenMillionaire/HeavyDexTrader(見圖7)

該錢包在5月8日和5月9日進行了多次交易，共將約6000萬UST嫁接到以太坊。隨后，這些資金在Curve上被分別換成了USDT。該錢包與terra1hapgv57ytaaaatvz92k46fzwxs9m2zsdr46rph有關。

8.0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232(C)orHeavyDexTrader(見圖8)

這個錢包在5月8日收到了大約1050萬的UST，這些資金在Curve上被換成了USDT。根據鏈上數據，該錢包與terra1autyehjkpl9r4h99qa4v66h2tz8589haw9uyxm、terra1rhds9ltx9t5wxq22v9x9j26pk9tuwyykwhm9gy和terra14geatm83tykw5v3uw6klkcwwqf00tfwk72dq62有關。這些錢包在5月7日從Terra橋接了價值910萬、73.7萬和61.5萬枚UST，金額約為1050萬UST，與以太坊地址上的交易相符。

暴風雨過后：在中心化交易所的交易和套利行為

從5月1日到5月20日，所有被Nansen標記的中心化交易所的賬戶都收到了大約2.25億個代幣的凈流入，包括Wormhole-UST和wrapped-UST。我們在本節中用「UST」來指代匯總的Wormhole和wrapped的代幣。

值得注意的是，2022年5月9日，中心化交易所的UST凈流入勢頭強勁，5月10日的凈流入量最大。我們的結論是，如果向中央交易所的凈賣出可能對去杠桿化進程造成了最后的打擊，那么它似乎不太可能啟動這一進程。正如我們之前所描述的，UST與Curve流動性池中的其他穩定幣的互換在交易所賣出之前就已經開始了。

圖14：流向中心化交易所的UST總凈值

通過對中心化交易所的頂級UST凈儲戶的掃描，我們交叉引用了一些早期通過Curve資金池交換UST的錢包。這些錢包可能通過Curve和隨后的交易所退出了他們的一些UST頭寸。

圖15：向中心化交易所發送UST的頂級錢包+早期Curve交換者+Wonderland

圖16：向中心化交易所發送USDC的頂級錢包+早期Curve交換者。

鑒于大多數早期的曲線交換者已經從資金池中提取了USDC，我們回顧了5月1日至5月20日中心化交易所的最大USDC儲戶。在那里，又出現了熟悉的錢包。

我們注意到，錢包地址在5月7日21:57UTC啟動了第一個重要的UST流入，并獲得8450萬USDC作為回報，在5月8日午夜和凌晨1點UTC之間的幾筆交易中向Coinbase發送了USDC總金額。

雖然對CEX的凈流入提供了高水平的洞察力，但我們轉向了先前標記的錢包中的UST流動活動，以更精細的方式了解鏈上的動態。我們專注于三個錢包，因為它們與CEX的交易量大且多。

圖17：Masknft.eth的重要活動--和。

Masknft.eth有7690萬UST凈流出到CEXs。我們觀察到，該錢包從Curve購買了約9690萬UST，并迅速將其轉移到了Binance。

我們還在5月8日發現了幾筆交易，其中masknft.eth從Binance轉移UST，并在CurveMIM-UST池上將其交換為MIM。雖然我們無法確認這些轉移到Binance的交易是否是套利交易，但我們的猜測是，masknft.eth可能在脫錨期間在Binance購買了UST，并在第二天掛鉤設法短暫恢復時在Curve出售以獲取利潤。

雖然Oapital有5690萬UST凈流出到CEXs，但錢包的活動是高度多樣化的，并不像我們之前確定的許多其他錢包那樣僅限于定向流動。

圖18：Oapital的重要活動

上表顯示，僅Oapital就對Binance和FTX產生了巨大的拋售壓力，大部分的卸載活動都是在Binance進行的。遺憾的是，我們無法匹配從WormholeUST遷移者合約地址收到的UST的來源。

觀察Oapital的一些交易，我們注意到這個錢包可能在套利時獲得了巨大的收益，正如上面的一個交易中所看到的。假設Etherscan上轉賬當天的估計價值準確地反映了Oapital的UST成本，該錢包可能從這單交易中獲得了約13.25萬美元的利潤。

圖19：WonderlandDAO對Binance的UST存款

除了上述可疑地址，我們還注意到WonderlandDAO在5月10日和11日之間向Binance發送了5740萬UST，在清算了他們的AbracadabraDegenbox之后。

可能對UST最終脫錨產生重大影響的七個「嫌疑地址」

圖20：可能對UST脫錨產生重大影響的錢包

結論

鑒于UST脫錨的金融和心理后果的嚴重性，許多關于「發生了什么」的敘述充斥著互聯網。我們的分析利用鏈上數據來解讀UST脫錨之前和期間發生的事情。通過對鏈上活動的檢查，我們發現少數錢包和這些錢包背后可能更少的實體導致了調節UST和其他穩定幣之間平價的Curve流動性協議的失衡。

早在5月7日晚，七個錢包就在Curve上交換了大量的UST和其他穩定幣。這七個錢包在5月7日和之前從Anchor協議中提取了大量的UST，并通過Wormhole將UST橋接到以太坊區塊鏈上。在這七個錢包中，有六個與中心化交易所互動，發送更多的UST，或者對于其中的一個子集，發送從Curve的流動性池中換來的USDC。

這項鏈上研究駁斥了關于一個「攻擊者」或「黑客」破壞了UST的說法。相反，我們發現少數玩家發現并套用了漏洞——特別是與Curve資金池的淺層流動性有關的漏洞，這導致了以下事件的發生：

1.從Terra的Anchor協議中提取UST資金。

2.通過Wormhole基礎設施將這些資金從Terra橋接到Ethereum

3.將大量的UST換成Curve流動性池中的其他穩定幣

4.在「脫錨」過程中，其中一些錢包可能利用了各種定價來源之間的低效和價差，在CEX和DEX之間的交易所進行套利買賣。

尾聲：鏈上數據，從取證到風險管理

鑒于這項研究的重點是鏈上數據，我們將避免對引發這一系列事件的七個錢包的目標進行評論。我們只想補充一點意見，以補充我們的鏈上調查：在加密貨幣市場運作時，擁有強大的風險管理框架，特別是在宏觀金融市場動蕩的階段，是在進行預期收益分析時不可或缺的一部分。

Tags：USTCurveCURANCWanderlustLP renBTC CurveCURE價格Moonday Finance

Luna