CRV
ETHCurve Finance 被攻击事件的最权威事后分析报告
由 Rekt 于 2023 年 7 月 30 日发布的关于 Curve Finance 被攻击事件的最权威公开事后分析报告显示，四个流动性池遭受的损失确认为 6930 万美元，而非某些摘要中流传的 3.516 亿美元。这一差异至关重要：经过研究，未发现任何权威来源、链上分析或 Curve 官方披露能够证实后者这一更高数字。将其作为既定事实呈现，歪曲了 DeFi 历史上最具影响力的基础设施故障之一的实际影响范围。
该已确认的事件发生于 2023 年 7 月 30 日，暴露出的关键缺陷并非存在于 Curve 自身的 Solidity 代码中，而是存在于用于构建其多个稳定币池的 Vyper 智能合约编译器中。此次攻击导致四个 Curve 资金池被清空，利用了一个在生产环境中潜伏多年的重入保护（reentrancy guard）失效漏洞。所有在 Curve 关联的流动性、抵押品或收益产品中有敞口的 DeFi 用户都受到了影响，无论他们的资金是否位于直接受影响的池中。
记录显示的事实：四个资金池，6930 万美元损失，单一编译器漏洞
根据 Rekt 的事件记录，此次攻击针对的是使用 Vyper 版本 0.2.15、0.2.16 和 0.3.0 编译的 Curve 资金池。这些版本中存在有缺陷的重入锁实现。重入锁是一种标准防护机制，旨在防止在先前执行完成之前递归调用合约。当该锁失效时，攻击者可以在执行过程中重新进入合约，并在余额结算前操纵内部会计逻辑，从而通过循环耗尽资金。
记录的 Curve/Vyper 损失金额： 6930 万美元（Rekt 记录的 2023 年 7 月 30 日攻击事件数据）
据 Rekt 记录，共有四个资金池被清空。受影响的合同是原生 ETH 池，即它们处理的是原始以太币而非封装代币（wrapped tokens）。这使得它们容易受到 Vyper 的 receive-ETH 回调路径的影响，因此易受攻击者使用的特定重入序列的攻击。使用较新 Vyper 版本编译或未以原生 ETH 方式处理的资金池不受此机制的直接风险影响。
Curve 被清空的资金池数量： 4 个
在某些报道中引用的 3.516 亿美元数字仍未得到验证：在本次文章的研究中，未找到任何权威事故报告、Curve 治理公告或将确认损失汇总至该总数的链上分析。引用该数字的读者和分析人士应将其视为未经确认的数据，直到有主要来源予以证实。Rekt 记录的 6930 万美元是与命名清晰、可读的事后报告相关联的数字，并附有具体的资金池级归属信息。
Vyper 编译器缺陷：为何智能合约审计未能发现
根本原因位于应用层之下：Vyper 是 Python 风格的编程语言，Curve 和其他 DeFi 协议将其作为 Solidity 的替代方案使用。Rekt 将此次泄露归因于一个零日编译器漏洞，意味着缺陷存在于将人类可读的合同代码转换为以太坊虚拟机（EVM）执行的字节码的工具中。审查源代码的智能合约审计可能无法检测到编译器在字节码层面引入的 bug，因为审计人员通常验证的是编写代码的逻辑，而非其生成的机器输出。
NIST 国家漏洞数据库中的条目 CVE-2023-42441 记录了相关的 Vyper 重入锁漏洞，影响版本从 0.2.9 到 0.3.10 之前的版本，修复措施已在 0.3.10 版本中提供。NVD 条目描述了相同类别的缺陷：用作重入保护的存储变量并未总是在外部调用完成前写入链上，允许恶意合约重新进入并按错误顺序执行逻辑。这是编译器层面的不变量失败，而非应用程序逻辑错误。
这对开发人员和审计人员的实际影响重大。使用易受攻击的 Vyper 版本编译且未升级的合同，即使其源代码在逻辑上是正确的，也携带潜在风险。任何在修补后的编译器版本部署之前部署了原生 ETH Vyper 池且此后未迁移的协议，都面临来自此类漏洞的残余风险。这一点不仅适用于 Curve，还延伸至在生产中使用受影响编译器版本的任何项目。
对流动性提供者和协议集成商的启示
Curve 在 DeFi 基础设施中占据结构性地位：其稳定币池支撑着借贷平台和聚合器 across 广泛的收益策略、抵押机制和自动化做市商路由。当资金池被清空或暂停时，依赖 Curve 定价数据、Curve 流动性进行清算路径或使用 Curve LP 代币作为抵押品的下游协议可能会面临扭曲，这种扭曲并非由初始攻击直接造成。
未被直接清空的资金池中的流动性提供者仍面临间接敞口，包括价格冲击、提取延迟以及如果流动性迅速转移导致的无常损失加速。在借贷平台上使用 CRV 或 Curve LP 代币作为抵押品的借款人，若代币价格因事件急剧下跌，则面临清算风险。截至数据采集时，CRV 的交易价格为 $0.33631，市值约为 5.32 亿美元，较其峰值大幅下跌，反映了协议层面的长期不确定性，而 2023 年 7 月的事件加剧了这种不确定性。
从结构上看，该事件与其他主要的 DeFi 基础设施故障相当，正如对 Curve 更广泛流动性危机的分析所示，相互关联的债务头和协议依赖性放大了损害，远远超出了初始攻击向量。对于类似考察交易所级别损失如何在 DeFi 中传播的分析，记录的 Bybit 事件分析提供了关于传染机制的有力参照。
DeFi 用户如何评估其头寸中的编译器级别风险
Curve/Vyper 事件引入了大多数 DeFi 用户不常规检查的一类风险：与他们交互的合同所使用的编译器版本。标准的尽职调查涵盖审计、团队声誉和协议年龄，但编译器溯源很少在面向用户的仪表板中显示。以下检查专门针对此类漏洞，并且无需专门工具即可验证。
首先，检查您使用的任何资金池或协议是否在审计报告或部署文档中公开披露其编译器版本。除非协议已明确确认升级或迁移，否则使用原生 ETH 处理功能且在 0.3.10 版本之前编译的 Vyper 合同应被视为可能易受 CVE-2023-42441 所述重入类漏洞的影响。
其次，验证协议是否有活跃的事故响应渠道，因为在 2023 年 7 月事件中沟通的速度影响了 LP 在次要效应累积之前退出头寸的速度。
第三，映射您的抵押品依赖关系。如果您持有来自 Curve 资金池的 LP 代币作为借贷协议的抵押品，请了解如果该资金池的 TVL 急剧下降或提取暂停，您的清算阈值会发生什么变化。这不是假设情景：2023 年 7 月的事件为与受影响资金池代币挂钩的杠杆头寸用户创造了 exactly 这一场景。审计和过去的安全记录并不能消除智能合约风险，特别是当攻击面位于编译器而非合同源代码本身时。
未解决的数字：为何 3.516 亿美元这个数字需要主要来源
传播一个比记录金额大五倍的损失数字不是一个小的舍入问题：它影响风险的感知、机构资本如何评估 DeFi 基础设施，以及监管者如何界定去中心化交易所协议的安全概况。Rekt 记录的 6930 万美元无论如何衡量都是一起重大事件，使 2023 年 7 月的 Curve 事件成为有记录以来最大的单协议 DeFi 攻击之一。
如果 3.516 亿美元的数字反映了更广泛的会计处理，包括间接损失、二次清算、CRV 市值下降或聚合生态系统影响，那么该方法论应与数字一起明确陈述，并提供主要来源。没有这种归属，该数字不是引用而是一个主张，将其视为既定事实歪曲了证据所显示的内容。任何证实更大总数的后续报告、治理报告或链上分析都将是对此事件公共记录的重大补充。
截至数据采集时，Crypto Fear and Greed Index（加密恐惧与贪婪指数）读数为 51（中性），这是一个市场情绪基准，既不代表 2023 年 7 月攻击后几天的急性恐惧，也不代表 CRV 特有的强劲复苏信号。随着 CRV 市值约为 5.32 亿美元，代币价格为 $0.33631，该协议仅在 2021 年峰值估值的极小部分运营，而在部署合同中存在的编译器类漏洞仍然是行业范围内的开放性问题，Curve 事件首次大规模地将其带入了公众视野。
常见问题解答：Curve/Vyper 攻击及用户须知
Curve 本身损失了 6930 万美元，还是有更大的已确认总数？
6930 万美元是 Rekt 的事后报告记录的 2023 年 7 月 30 日攻击事件中四个被清空资金池的数据。某些报道中引用的 3.516 亿美元数字在现有证据中缺乏可追溯的主要来源。读者应将较大的数字视为未经确认，直到权威的事故报告、链上分析或 Curve 官方披露予以证实。
哪些 DeFi 用户暴露度最高？
被攻击直接清空的四个资金池中的流动性提供者面临最直接的损失。在借贷协议中将 Curve LP 代币作为抵押品的用户面临二级清算风险，因为资金池估值下降。任何通过受影响的 Curve 资金池路由交易或清算的协议，在资金池被劫持期间面临执行失败或定价错误的输出。未受影响的 Curve 资金池中的用户面临间接敞口，包括全市场 CRV 价格压力和 Curve 相关收益策略信心的降低。
在此类 DeFi 攻击后，用户可以追回资金吗？
Rekt 的报告指出，在报告时部分资金已被归还，但在现有证据中没有记录最终的补偿结果或确定的恢复总额。DeFi 攻击中的恢复取决于白帽干预、协议国库储备、治理决策和攻击者谈判，这些都不遵循可预测的时间表或保证的结果。用户应咨询官方的 Curve 治理渠道和经过验证的公告，以获取有关补偿状态的更新，而不是依赖二手报道。
用户如何检查协议是否依赖 Curve？
大多数 DeFi 聚合器和借贷协议在其文档或治理论坛中发布其流动性路由和抵押资产列表。对于使用 Curve 作为流动性来源或价格预言机的协议，依赖关系通常在审计报告或部署说明中披露。在链上，您可以在 Etherscan 上搜索协议的智能合约交互，以识别对已知 Curve 资金池地址的调用。任何将 Curve LP 代币列为接受抵押品或在预言机逻辑中使用 Curve 资金池价格的协议，都带有对 Curve 级别事件的间接敞口。对于理解 DeFi 协议依赖关系如何创造系统性敞口的更广泛框架，大规模流动性错位的分析提供了关于互连协议间传染机制的相关背景。
开发者应从 Vyper 编译器漏洞中吸取什么教训？
主要的教训是，当编译器引入字节码级别错误时，审计源代码是必要但不充分的。使用 Vyper 的协议应验证其部署的合同是使用 0.3.10 或更高版本编译的，如 CVE-2023-42441 中描述的修复措施，或者拥有记录的迁移计划。对于特定的原生 ETH 池，应在字节码级别验证重入保护行为，而不仅仅是通过源代码审查。该事件确立了一个先例，即编译器溯源应作为标准 DeFi 安全检查清单的一部分，与审计覆盖范围和管理密钥管理并列。
交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注