Ончейн анализ от Nansen: разрушаем миф о депеге TerraUSD
Перевод статьи nansen.ai
Исследовательская группа Nansen углубилась в историю де-привязки UST. Используя ончейн-аналитику, мы развеем миф о том, что в этом виноват одиночный злодей из Terra.
Цель анализа
Наше ончейн расследование показало, что несколько крупных игроков действительно нашли эксплойты на раннем этапе депривязки UST.
Наше расследование опровергает популярные слухи о том, что всему виной один «злоумышленник» или «хакер», захотевший дестабилизировать UST. Вместо этого сбой пега UST мог быть результатом инвестиционных решений от нескольких хорошо финансируемых организаций. Например, это могли быть решения соблюдать ограничения по управлению рисками. Либо еще один вариант – эти компании хотели сократить аллокации UST, депонированные в Anchor, на фоне нестабильных макроэкономических и рыночных условий.
Введение
Как мы знаем, де-пэг UST имел внезапный характер. Поэтому многие участники рынка (независимо от того, пострадали ли они напрямую или нет) стремятся восстановить цепочку событий, которая привела к такому результату.
Нам тоже интересна данная тема. Поэтому Nansen составил подробный отчет, используя данные ончейн как из Terra, так и из Ethereum. Это позволило воссоздать историю краха алгоритмического стейблкоина.
Там, где это возможно, мы стремимся дать объективный отчет, подкрепленный ончейн доказательствами. Кроме того, мы использовали свою маркировку, чтобы наглядно показать, что к чему. Мы пометили разными цветами кошельки и объекты, чьи действия, вероятно, повлияли на механизм депега.
Это исследование не охватывает потенциальные события вне блокчейнов, которые могли способствовать де-привязке UST. А таких факторов было немало: влияние на инвесторов, распределение чистых убытков между кошельками и вопрос о том, что случилось с резервами BTC, обеспечивающими UST. Все это важные вопросы для дальнейших расследований, которые выходят за рамки этого отчета.
Ищем следы
Мы определяем ончейн-анализ как метод, при котором информация из блокчейна помогает восстановить серию событий. В частности, ончейн-анализ включает в себя просмотр данных о транзакциях и активности криптовалютного кошелька. Это два источника данных, которые полезны при попытке собрать воедино события.
На старте исследования мы выбрали обоснованный теоретический подход. На первом этапе мы собрали данные об объеме транзакций и определили объем исследования. Затем изучили «серые» данные – сообщения в соцсетях и на форумах. Далее мы сузили сферу нашего исследования, и охватили только транзакции в период с 7 по 11 мая 2022 года. Результаты анализа «серых» источников подчеркнули важность потока транзакций с пулов ликвидности Curve в течение этого периода. Это, в свою очередь, определило последовательность, в которой мы проводили наш анализ.
Наш анализ был организован в три этапа.
На этапе 1 мы проанализировали поток транзакций в протокол кредитования Curve и из него. Мы составили список кошельков, чьи транзакции могли повлиять на де-привязку UST.
Фаза 2 анализа включала три части:
- мы наблюдали за любыми транзакциями через мост Wormhole, которые могли привести к де-пегу UST;
- мы рассмотрели выводы UST из протокола Anchor, включая список наблюдаемых кошельков;
- мы проследили за продажами UST и USDC на централизованных биржах.
Фаза 3 включала в себя совокупный анализ ончейн-доказательств. То есть, мы собрали воедино все действия и сформулировали описание, как все происходило. Мы также составили список из 7 кошельков, которые сыграли в этой истории значительную роль:
- 0x8d47f08ebc5554504742f547eb721a43d4947d0a (EIP 1559 User)
- 0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (Celsius)
- 0x1df8ea15bb725e110118f031e8e71b91abaa2a06 (hs0327.eth)
- 0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (Heavy Dex Trader)
- 0x41339d9825963515e5705df8d3b0ea98105ebb1c (Smart LP: 0x413)
- 0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69 (Token Millionaire / Heavy Dex Trader)
- 0x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (Token Millionaire)
Битва на Curve
Начнем анализ с DeFi-протокола Curve на Ethereum. В нашем обзоре серых источников его называют «отправной точкой» всех событий.
В соцсетях ходит теория о махинациях на пуле UST-3pool. Это пул от Curve, на котором USTсвапали на USDC / DAI / USDT. Согласно теории, этот пул “опустошил” один главный «злодей», и это стало основной причиной де-привязки.
Когда мы изучали движение UST в пулы Curve и из них, то визуально выделяли два периода (рис. 1): март 2022 года и период с 7 по 11 мая.
Особое внимание мы уделили притоку UST, ведь причина де-привязки предположительно кроется в чрезмерном обмене UST на другие стейблкоины. По крайней мере, изначально.
В марте 2022 года мы видим несколько притоков UST в пулы Curve (в каждом завели более 60 млн токенов UST). Несмотря на такой разнобой, крупные мартовские притоки не повлияли на привязку UST к доллару (рисунок 2).
В период с 7 по 8 мая мы наблюдали отклонение UST от паритета с долларом (см. рис. 3). По нашим оценкам, новости о де-привязке сразу начали распространяться в соцсетях очень быстро (см. рис. 4).
Мы специально сканировали ранние и аномально большие притоки UST в Curve по временным отметкам и кошелькам. А также следили за повторяющимися притоками из одного и того же кошелька. Также мы пытались обнаружить «сеть» кошельков, принадлежащих одной и той же «организации».
Мы нанесли на график временные периоды, когда происходили притоки в пулы Curve. Мы специально не ограничивали наш анализ 3pool и включили 4pool и другие объекты, которые ассоциируются с протоколом Curve (например, депозитарий Zap на рисунке 5).
Битва между притоком и оттоком UST усилилась примерно с 7 мая, 21:44, до 8 мая, 5:35 UTC (через несколько часов после твита До Квона, см. рис. 4).
7 мая в 21:44 UTC кошелек, связанный с Luna Foundation Guard (LFG), вывел с Curve около 150 млн UST (см. рис. 6). Далее поступило около 85 млн UST по одному адресу (0x8d…7d0a), который создали незадолго перед транзакцией. Этот кошелек использовался только для свопов UST на USDC, а также для получения и последующего вывода USDC на Coinbase.
Четыре адреса, один из которых связан с Celsius, последовали его примеру. На них приходилось примерно 105 млн чистых притоков UST в Curve. LFG и связанные с ним кошельки «для защиты пегов» мешали снять 189,6 млн UST, и это движение туда/обратно длилось до утра 8 мая.
Мы заметили, что несколько кошельков начали активничать на Curve (рис. 6). Это подтверждают объемы потоков по адресам кошельков за период 7 и 8 мая. На 18 крупнейших кошельков по чистым потокам за 7 и 8 мая приходилось 77% от общего притока UST в Curve за этот период (рис. 7).
В последнем правом столбце таблицы 7 мы отметили кошельки по двум критериям: хоть какая-то активность к утру 8 мая + значительные совокупные депозиты за 7–8 мая.
Вот 4 адреса с наибольшими вливаниями в Curve через DEX-агрегатор 1inch:
- 0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81 (D1), основная метка: masknft.eth
- 0x4f5f3d3f8eb2896e0e865cde934fe5103f979771 (D2), основные метки: Heavy Dex Trader, NFT Collector
- 0x1df8ea15bb725e110118f031e8e71b91abaa2a06 (D3), основная метка: hs0327.eth
- 0x66b870ddf78c975af5cd8edc6de25eca81791de1 (K), основная метка: Oapital (также он напрямую взаимодействует с Curve)
И другие кошельки имели крупные транзакции через Curve, но начали их немного позже.
Кошелек 0x99fd1378ca799ed6772fe7bcdc9b30b389518962 (N), который мы идентифицировали как кошелек, связанный с Hodlnaut, является примером этих «ранних последователей».
Затем мы перешли к перекрестному анализу кошельков, помеченных выше. Мы сравнили их с данными Terra и кроссчейна Wormhole. Цель – уточнить объем кошельков, которые, вероятно, способствовали ситуации с UST.
Ранние выводы с Anchor как признак беды
В период с 7 по 10 мая кошелек с наибольшим оттоком UST от Anchor снял более 347 млн UST за 8 транзакций. В общей сложности 20 крупнейших адресов вывели с Anchor 2 млрд UST за 5051 транзакцию.
Анализ оттока UST из Anchor показал, что многие из отмеченных нами ранее своп-кошельков Curve начали выводить токены UST из Anchor еще в апреле 2022 года. Наибольший всплеск объемов вывода из Anchor зафиксирован в середине апреля.
Так, кошелек terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea (адрес кошелька 0x41339d9825963515e5705df8d3b0ea98105ebb1c в сети Ethereum или (H), отмеченный в разделе «Curve») совершил наибольшее количество снятий UST с Anchor в период с 1 апреля по 6 мая (т. е. до события депега).
Дальнейший анализ оттока из Anchor подчеркнул, что на депривязку повлияли два адреса:
- terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k (0x8d47f08ebc5554504742f547eb721a43d4947d0a на Ethereum, или «инициатор» притока UST Curve (A))
- terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc (0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c или Celsius (B))
Два идентифицированных кошелька привели к значительному оттоку из Anchor Protocol во время депривязки (с 7 по 10 мая). В общей сложности они вывели 420 млн UST за 15 транзакций. При сопоставлении с мостом UST от Terra к Ethereum эти два кошелька были топ кошельками, которые соединялись через Wormhole.
Далее по следу: переход UST от Terra на Ethereum
Мост Wormhole облегчает перевод токенов по разным сетям, в том числе Ethereum, Solana, Terra, BNB Chain, Aurora, Polygon, Avalanche, Oasis и Fantom. В этом разделе мы анализируем транзакции UST между Terra и Ethereum. Цель – зафиксировать любые крупные поступления UST на Ethereum, которые, вероятно, были выведены из Curve и привели к дестабилизации пулов ликвидности.
Анализ промежуточных транзакций также выявляет любой кошелек, который пытался вывести свои токены UST с Terra раньше (возможно, для обмена на другие стейблкоины). Мы сосредоточились на днях, предшествующих депривязке: с 5 по 8 мая.
Взгляните на баланс токенов UST на Wormhole. Мы видим небольшое увеличение в апреле, а затем значительный рост с 5 мая и далее, всего за несколько дней до де-привязки.
Сравнив цену и объем UST, показанные на графике выше, мы обнаружили, что объем значительно вырос 8 мая, когда началась первая стадия краха токена. Точно так же исторические переводы с Terra на Ethereum показали значительную активность примерно в те же даты. Крупные всплески, показанные ниже (рис. 12), указывают на то, что большое количество UST выводили во время депривязки.
При анализе транзакций с 5 по 8 мая мы обнаружили 984 уникальных адреса Terra-кошельков, активных за этот период. Львиная доля транзакций приходится на несколько кошельков. Например, на транзакции по 10 основным адресам кошельков приходилось более 57% всего объема UST, переведенного за этот период.
Кроме того, между 10 топ кошельками объемы распределялись неравномерно. Разница между общей суммой, переведенной между верхним и десятым кошельком, составила более 144 млн UST. На рисунке 13 показаны 10 самых активных адресов кошельков за наблюдаемый период.
Рост подозрительных кошельков (с 5 по 8 мая)
Опираясь на данные он-чейн, мы обнаружили, что эти кошельки в основном действовали через протокол Anchor на Terra. А также действовали через Curve и 1inch после перехода с Terra на Эфириум.
Ниже мы рассмотрим несколько подозрительных кошельков, которые провели большие объемы на Wormhole незадолго до депега UST.
0x8d47f08ebc5554504742f547eb721a43d4947d0a (A) (см. рис. 7)
Все зарегистрированные транзакции тут в основном связаны с UST и USDC. Они были прекращены 9 мая. Самая заметная транзакция была 7 мая: кошелек перевел UST на сумму более 85 млн в Ethereum. Впоследствии кошелек отправил токены в Curve и обменял примерно на $84,5 млн.
Мы ассоциируем кошелек с «сестринским» адресом Terra (terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k), одним из основных кошельков, которые связывали UST с Ethereum с 5 по 8 мая. Как мы обнаружили в нашем анализе Anchor, кошелек провел 10 переводов с 7 по 10 мая на сумму около 193 млн.
0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (B) или Celsius (см. рис. 7)
Этот кошелек был активен с конца апреля 2022 года. Он перевел около 138 млн токенов UST на Terra в период с 21 по 25 апреля. Примечательно, что 7 мая кошелек перевел 175 млн токенов UST с Terra на Ethereum. Кошелек, который получил средства с этого адреса Terra: 0xf642ea51c645c48196d9831a5937e95b0e9b4f7f.
В тот же день он отправил средства на другой адрес. Из средств этого кошелька 125 млн были обменяны на USDC на Curve транзакциями по 25 миллионов. По данным Nansen, контрагентом тут значится Celsius. Он отправляет и получает средства на этот кошелек и из него.
Основываясь на данных ончейн, мы можем связать кошелек с еще одним адресом Terra: terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc. Это был главный кошелек, который связывал UST с Terra с 5 по 8 мая. Адрес также взаимодействовал с Anchor, выводя капитал с конца апреля.
0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81 (D1) или masknft.eth
Этот кошелек совершил более 62 транзакций, начиная с декабря 2021 года. С начала апреля по 8 мая кошелек перевел UST на сумму более $79 млн в Ethereum, а затем обменял на USDC через 1inch посредством нескольких транзакций.
Этот кошелек связан с terra1cn2fh0k8f5ywzjl2s947xrpdnnerfnkg9qg2r7, который также фигурирует в нашем анализе протокола Anchor.
0x1df8ea15bb725e110118f031e8e71b91abaa2a06 (D3) или hs0327.eth (см. Раздел про Curve)
Точно так же этот кошелек получил множество транзакций через Wormhole, причем некоторые из них уже в январе. 8 мая он перевел свыше 20 млн UST в Ethereum за несколько транзакций (1-1,5 миллиона за раз). Это составило около 1,6% от общего оттока за этот период.
Данный адрес также связан с terra1vlel4dpqldcwm7ztre3k03apcldeawpq98rah0, который соединял транзакции с другим адресом Ethereum 0x6524b211ef8e4baf346f1b780b08a3811ee9f3cd в феврале и марте. Примечательно, что кошелек вышел из Anchor раньше, чем другие кошельки, последняя транзакция значится 1 мая.
0x41339d9825963515e5705df8d3b0ea98105ebb1c (H) или Smart LP 0x413 (рис. 7)
Судя по меткам Nansen, этим кошельком был Smart LP. Он перевел около 8,8 млн (конец января), а затем еще 30 млн UST на Terra (в феврале). Кроме того, примерно такую же сумму он перевел в Ethereum (10 млн 27 апреля и 20 млн 8 мая). Транзакцию в 20 млн UST можно отследить до Curve. В итоге кошелек обменял 20 млн UST на USDC.
Кошелек был связан с terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea. Мы также обнаружили его в анализе Anchor Protocol, проведенном за апрель и май. После 7 мая адрес полностью вышел из Anchor.
0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69 (F) или Token Millionaire / Heavy Dex Trader (см. рис. 7)
Судя по меткам Nansen, данный кошелек принадлежал Token Millionaire. Это довольно новый кошелек, который начал совершать транзакции только в конце марта 2022 года и взаимодействовал с кошельками, связанными с Alpha Finance Lab. На кошелке зафиксирована транзакции с Terra на Ethereum только 8 мая. Общая сумма переводов составила около 30 млн UST. Затем их обменяли на USDC на Curve тремя отдельными транзакциями. Кошелек был связан с terra17mh65gqelelxu9r5fyz9l56mx60zdg274fwe40.
0x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (J) или Token Millionaire / Heavy Dex Trader (см. рис. 7)
Кошелек совершил много транзакций 8 и 9 мая. Он перевел около 60 млн UST на Ethereum. Затем обменял их на USDT через Curve отдельными транзакциями. Кошелек связан с terra1hapgv57ytaaaatvz92k46fzwxs9m2zsdr46rph.
0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (C) или Heavy Dex Trader (см. рис. 7)
Кошелек получил около 10,5 млн UST 8 мая, иа затем обменял на USDT через Curve. На основе данных ончейн кошелек связан с terra1autyehjkpl9r4h99qa4v66h2tz8589haw9uyxm, terra1rhds9ltx9t5wxq22v9x9j26pk9tuwyykwhm9gy и terra14geatm83tykw5v3uw6klkcwwqf00tfwk72dq62. Эти кошельки перевели UST из Terra 7 мая на суммы 9,1 млн, 737 тыс. и 615 тыс. UST. То есть, в общем итоге около 10,5 млн UST, что соответствует транзакциям на адресе Ethereum.
После шторма: продажа и арбитраж на централизованных биржах
Все аккаунты централизованных бирж, помеченные Nansen, получили чистый приток примерно 225 млн токенов, в том числе Wormhole-UST и wrap-UST с 1 по 20 мая. В этом разделе мы ссылаемся на агрегированные токены Wormhole и обернутые токены «UST».
Примечательно, что чистый приток UST на централизованные биржи сильно активизировался 9 мая и достиг пика 10 мая (в тот день на CEX отправили 165 млн токенов).
Из этого следует вывод. Чистые продажи на CEX, вероятно, нанесли последний удар по де-привязке. Но маловероятно, что это стало причиной самого краха. Как мы писали ранее, перед продажами на биржах были крупные обмены UST на другие стейблкоины в пулах ликвидности Curve.
Мы просканировали крупнейших владельцев депозитов UST на централизованных биржах. Затем сопоставили некоторые кошельки, которые ранее (с 7 по 8 мая) меняли UST через пулы Curve. Эти кошельки, вероятно, закрыли некоторые из своих позиций по UST через Curve, а затем и через биржи.
Учитывая, что большинство первых свопов Curve вывели USDC из пулов, мы рассмотрели крупнейших владельцев депозитов USDC на централизованных биржах с 1 по 20 мая. Там снова засветились знакомые кошельки.
Так, адрес кошелька (A), который инициировал первый значительный приток UST 7 мая в 21:57 UTC (85 млн UST) и получил взамен 84,5 млн USDC, отправил общую сумму USDC на Coinbase 8 мая несколькими транзакциями между полуночью и 1:00 UTC.
Также мы обратились к активности потоков UST среди кошельков, помеченных ранее, чтобы более детально понять динамику внутри сети. Мы сфокусировались на трех кошельках из-за их многочисленных и крупных транзакций с CEX (рисунки 17, 18 и 19).
У Masknft.eth были объемы 76,9 млн UST на CEX. Мы заметили, что кошелек купил примерно 96,9 млн UST у Curve (через 1inch) и быстро перевел их на Binance.
Мы также обнаружили несколько транзакций 8 мая (на общую сумму около 11,9 млн UST), в которых masknft.eth перевел UST из Binance и обменял его на MIM в пуле Curve MIM-UST. Нельзя стопроцентно подтвердить, были ли эти переводы на Binance арбитражными сделками. Но мы предполагаем, что masknft.eth потенциально купил UST на Binance во время де-привязки (UST в тот день падал до $0,985) и продал его с прибылью на Curve на следующий день, когда привязке удалось ненадолго восстановиться.
Теперь по кошельку Oapital. Его отток на CEX составил 56,9 млн UST, на активность кошелька была весьма разнообразной и не ограничивалась только выводами, как многие другие кошельки, которые мы вычислили ранее.
В таблице выше показано сильное давление продаж как на Binance, так и на FTX только со стороны Oapital. При этом большая часть “разгрузочных” транзакций проводилась на Binance. К сожалению, нам не удалось сопоставить источник UST, которые были получены с адреса контракта Wormhole UST Migrator.
Изучая некоторые транзакции Oapital, мы заметили, что этот кошелек получил значительную прибыль при арбитраже, как видно из одной из транзакций выше. Если предположить, что оценочная стоимость в день перевода на Etherscan точно отражает стоимость UST для Oapital, кошелек мог бы получить около $132,5 тыс. чистой прибыли от этой единственной транзакции.
Помимо подозрительных адресов, упомянутых выше, мы заметили еще кое-что. Wonderland DAO отправила на Binance 57,4 млн UST в период с 10 по 11 мая после ликвидации их Abracadabra Degenbox.
«Финальная семерка»
Выводы
Учитывая масштабы финансовых и психологических последствий де-привязки UST, в интернете начали шириться многочисленные мифы о том, «что пошло не так». В нашем анализе использовались данные ончейн, чтобы демистифицировать такие теории.
Изучив активность ончейн, мы обнаружили, что небольшое количество кошельков и, вероятно, еще меньшее количество организаций, владеющих этими кошельками, привели к дисбалансу в протоколах ликвидности Curve. Это нарушило паритет между UST и другими стейблкоинами.
Семь «начальных» кошельков обменяли значительное количество UST на другие стейблкоины на Curve еще ночью 7 мая (UTC). Эти семь кошельков выводили значительные суммы UST из протокола Anchor 7 мая и ранее (еще в апреле). Они же отправляли UST на блокчейн Ethereum через Wormhole.
Из этих 7 кошельков шесть работали с централизованными биржами. Они отправляли туда UST (предположительно для продажи), а часть из них отправили USDC, которые обменяли из пулов ликвидности Curve.
Это исследование опровергает миф об одном «злодее» или «хакере», виновном в дестабилизации UST. Но мы выяснили, что несколько крупных игроков нашли и воспользовались уязвимостью. Особенно им помогла уязвимость в низкой ликвидности пулов Curve, обеспечивающих привязку UST к другим стейблкоинам. Это привело к следующим событиям:
1. Вывод средств UST из протокола Anchor на Terra.
2. Перенаправление этих средств с Terra на Эфириум через мост Wormhole.
3. Обмен значительного количества UST на другие стейблкоины в пулах ликвидности Curve.
4. Во время процесса «де-привязки» некоторые кошельки, вероятно, заработали на разнице цен между различными площадками (Curve, биржи DEX, биржи CEX). Они покупали и продавали позиции между CEX и DEX, хорошо заработав на арбитраже.
Эпилог: данные он-чейн, от криминалистики до управления рисками
Учитывая, что это исследование посвящено анализу он-чейн, мы воздержимся от того, чтобы давать оценку тем семи кошелькам, которые вызвали эту череду событий. Мы просто добавим одно наблюдение в дополнение к нашему исследованию: при работе на крипторынках нужна надежная система управления рисками. Особенно сейчас, в нестабильные для макроэкономики времена. Такая система дополняет анализ ожидаемой доходности.
Будет интересно
