Entrevista a las víctimas de Resupply: ¿Quién debería ser responsable de los 9.6 millones de dólares?

Ha pasado una semana desde que Resupply sufrió pérdidas de capital. El 26 de junio, el mercado de stablecoins de este protocolo DeFi experimentó una vulnerabilidad de seguridad, lo que resultó en la pérdida de aproximadamente 9.6 millones de dólares en activos criptográficos. Como uno de los primeros participantes, el veterano de DeFi 3D publicó videos de defensa durante tres días consecutivos en su canal de Youtube. Nos pusimos en contacto con 3D para discutir una serie de reflexiones sobre este evento como perdedor.

3D es tanto un jugador de minería como un creador de contenido. En la entrevista, expresó sus dudas y emociones, y también mencionó algunas reglas no escritas en la industria. Habló sobre el "respaldo por defecto" de Curve, la respuesta negativa del equipo del proyecto ante el incidente de hackeo, y las prohibiciones y humillaciones que la comunidad ha enfrentado en el proceso de defensa de sus derechos.

En comparación con la pérdida de dinero, lo que más duele a 3D es la sacudida de la confianza en la industria. Él admite que, aunque no es la persona que ha perdido más, podría ser el más enojado de todos, no solo por el dinero, sino también por la indiferencia y el desprecio hacia su identidad como usuario. Su experiencia refleja la difícil situación común de muchos participantes en DeFi: responsabilidades poco claras, dificultad para defender sus derechos y un continuo descenso de los estándares morales.

A continuación se muestra el contenido completo de la conversación:

Por favor, 3D, haz una breve autointroducción.

Estoy usando el nombre 3D en línea. Actualmente me dedico principalmente a la minería autodidacta. Entré en el mundo de las criptomonedas durante la ola de ICO de 2017, pero realmente comencé a enfocarme en DeFi y arbitraje a partir del verano de DeFi de 2020. Al mismo tiempo, también gestiono un canal de Youtube dedicado al arbitraje en DeFi.

¿Cuánto capital se ha visto afectado actualmente? ¿Cómo se puede estimar o medir la magnitud de las pérdidas reales?

El tamaño total de los fondos visibles actualmente es básicamente el tamaño del fondo de aseguramiento, aproximadamente 38 millones de dólares.

¿Cuál fue la proporción de usuarios chinos esta vez?

No estoy muy seguro de esto. Sin embargo, los primeros y más vociferantes defensores de los derechos esta vez somos yo y otro usuario llamado Yishi, que somos los que estamos liderando. Los usuarios de habla china están expresándose de manera más concentrada, mientras que también hay algunos usuarios de habla inglesa, pero en general el volumen es mucho menor.

¿Cuál es la solución actual?

En pocas palabras, nuestro capital ha perdido directamente un 15.5%. La comunidad espera que el equipo del proyecto tome más acciones, ya que la pérdida total se acerca a los diez millones de dólares. Un desarrollador de su equipo perdió alrededor de 1.5 millones, y también sacaron alrededor de 800 mil de la tesorería, cubriendo en total un poco más del 20% de las pérdidas.

Su actitud parece estar diciendo: "Mira, nosotros también hemos perdido dinero, así que no sigas insistiendo". Pero el problema es, ¿por qué no usar ese dinero para comunicarse con los hackers? Por ejemplo, "si devuelves el dinero, te daremos esta parte como recompensa de sombrero blanco", ¿no sería eso beneficioso para todos? Pero no hicieron nada de eso.

¿Por qué se eligió este protocolo de minería en primer lugar?

Comencé a participar en el proyecto Resupply a principios de abril. En ese momento, mientras navegaba por Twitter, vi a una persona a la que he estado siguiendo durante mucho tiempo publicar contenido relacionado, y luego vi que la cuenta oficial de Curve también lo retuiteó, lo que llamó mi atención.

Ahora, al mirar hacia atrás, es muy extraño desde la lógica de operación del proyecto. No parece que busque obtener ganancias por sí mismo, sino que parece estar ayudando a Curve a aumentar el uso de crvUSD. Dado que crvUSD carece de utilidad práctica, ha creado artificialmente un escenario de uso a través de un mecanismo de diseño y luego ha utilizado incentivos para guiar a todos a participar.

Desde la perspectiva de nosotros, los participantes, esto es como si un gran jefe quisiera mejorar los datos de la plataforma y enviara a sus "esbirros" para hacer acto de presencia. Además, Curve realmente otorgó un cierto nivel de respaldo, así que en ese momento no sentimos que hubiera algún problema.

Para aquellos como nosotros que hacemos minería o arbitraje, al encontrar nuevos proyectos, siempre evaluamos dos puntos clave: primero, el producto en sí, ¿cómo funciona realmente? ¿De dónde proviene el dinero que ganas? En segundo lugar, el trasfondo del equipo del proyecto, es decir, se debe investigar adecuadamente la información "on-chain" y "off-chain". Según mi juicio en ese momento, la lógica del producto Resupply es relativamente simple y directa.

¿Quién crees que debería ser responsable después del incidente? ¿Qué decisiones clave tomó el equipo de Resupply después de que ocurrió el problema? Si comparamos con plataformas de protocolos DeFi maduros, ¿cuáles son las diferencias notables en sus procesos de respuesta?

Creo que su mayor problema en el manejo posterior es la total falta de conciencia sobre la respuesta a crisis. En el primer momento ni siquiera hicieron lo más básico. Esto se puede consultar en línea, y el gran Yuxian también lo mencionó: no hicieron un llamado público a los hackers, tampoco emitieron un anuncio explicando la situación, y mucho menos iniciaron cualquier mecanismo legal o de responsabilidad; ni siquiera hicieron un intento de comunicarse con los hackers, simplemente dejaron que todo pasara sin hacer nada.

Otros proyectos al menos emitirían un anuncio, suspenderían contratos, contactarían a hackers éticos y intentarían recuperar fondos; no han hecho ninguna de estas operaciones básicas. Actúan como si nada hubiera sucedido.

No entendemos por qué el equipo del proyecto no se comunica activamente con la comunidad. Todo el incidente ha causado pérdidas cercanas a diez millones, y su equipo solo ha aportado alrededor de 1.5 millones, además de que el fondo del proyecto ha sacado unos 800,000, lo que cubre solo alrededor del 20% de las pérdidas. Desde cualquier perspectiva, esto parece ser solo un gesto simbólico, una gota en un cubo.

Su actitud básicamente es "mira, nosotros también hemos perdido dinero, no nos molestes más." Pero el problema es que claramente podían haber utilizado ese dinero para negociar con los hackers, explicando que mientras devuelvan el dinero, lo considerarían como una recompensa de sombrero blanco, y todos felices. Pero no tomaron ninguna de estas medidas.

El primer punto es que han mostrado una actitud extremadamente pasiva en la recuperación de los activos de los hackers, e incluso han estado completamente inactivos. Desde que ocurrió el incidente el jueves pasado, ya han pasado varios días y aún no hay avances sustanciales.

El segundo punto es que su actitud hacia la comunidad es extremadamente arrogante y apática. Cuando ocurrió el incidente, muchos de nuestros usuarios fueron a preguntar de inmediato, pero ellos simplemente dijeron "la gente del fondo de garantía asumirá las pérdidas", sin siquiera permitir un espacio básico para la discusión. Cuestionamos su enfoque, señalando que el documento no indicaba que los usuarios debían asumir tales pérdidas, y como resultado, fuimos objeto de burlas, ataques e incluso se nos prohibió la cuenta.

Ellos también dijeron "ustedes ganaron un rendimiento anualizado del 17%, deben asumir el riesgo correspondiente." Esta lógica no tiene fundamento, solo participamos en una estrategia de 17% anualizada, no significa que debamos ser responsables de todo el robo del protocolo.

Los comentarios en nuestro grupo son muy coherentes: no es tanto perder dinero lo que más duele, sino las experiencias de ser humillado y bloqueado en la plataforma de comunicación que son aún más frustrantes. La razón principal por la que este incidente ha provocado una reacción tan fuerte se debe a dos factores: la inacción del equipo del proyecto y su desdén hacia los usuarios.

Si realmente no pueden permitirse perder, deberían ser claros al respecto, por ejemplo, aportar 3 millones inicialmente y hacer que los demás 7 millones se distribuyan entre todos los usuarios de manera proporcional, eso sería mejor que la situación actual. Pero su forma de manejarlo es simplemente "sacar" a los usuarios del fondo de seguro para que asuman toda la responsabilidad. Su objetivo es bastante claro, quieren mantener el funcionamiento del protocolo y evitar que el proyecto muera.

Lo más irónico es que, al ver el anuncio que emitieron en ese momento, casi no mencionan la cantidad de pérdidas, solo mencionan de manera superficial que encontraron un fallo, que suspendieron un mercado y que todo lo demás sigue igual. Este tipo de divulgación de información es muy irresponsable.

Más grave aún, los hackers aprovecharon una vulnerabilidad para acuñar diez millones de stablecoins sin costo alguno y venderlas en el mercado, rompiendo directamente el mecanismo de sobrecolateralización, de modo que no hay suficientes activos para respaldar las stablecoins. En esta situación, el equipo del proyecto aún no ha pausado el protocolo, permitiendo a los usuarios retirar sus fondos por su cuenta.

El resultado fue que los usuarios que reaccionaron rápidamente retiraron sus fondos, mientras que los usuarios del fondo de seguros quedaron completamente bloqueados debido a un retraso de 7 días en las extracciones. Más ridículo aún, presentaron una nueva propuesta para suspender los retiros del fondo de seguros, congelando aún más los activos de los usuarios. En cuanto a su afirmación de que "las malas deudas deben ser asumidas por el fondo de seguros", no hay ningún precedente en los protocolos de DeFi. Han vuelto a sobrepasar los límites de la industria, sin ninguna justificación de gobernanza.

¿Ha habido proyectos anteriores que hayan utilizado este fondo de seguros para asumir pérdidas?

La asunción de pérdidas causadas por hackers por parte del fondo de seguros no tiene precedentes.

Hay tres formas de participar en el proyecto Resupply: staking, préstamos circulares y la formación de un fondo de liquidez. Desde la perspectiva de los usuarios, el staking es el grupo más conservador, sin embargo, ahora deben asumir todo el riesgo. El problema central radica en las expectativas de los usuarios sobre el fondo de seguros, todos creemos que solo cubrirá las pérdidas causadas por la volatilidad del mercado.

Hice una analogía no muy precisa para explicar esta situación: es como si compraras un producto de inversión en una plataforma de intercambio y, al final, esa plataforma fuera robada. Te diría: "¿No viniste a ahorrar dinero? Entonces, las pérdidas las asumimos todos juntos, especialmente ustedes, los usuarios que compraron productos de inversión". Al final, el dinero perdido solo se deduce de los fondos de los usuarios de inversión, mientras que los demás no se ven afectados.

En realidad, en el pasado algunas exchanges fueron hackeadas y todas las pérdidas fueron asumidas proporcionalmente por todos los usuarios, pero esta vez no es así. Solo hacen que los usuarios del fondo de seguros asuman toda la pérdida. Su lógica es: "si quieres obtener un interés anual del 2%, debes asumir la responsabilidad por ello." Incluso hay quienes dicen: "no hay almuerzo gratis en este mundo", lo que significa que si obtuviste un rendimiento anual del 17%, deberías asumir la pérdida por el robo. Este tipo de afirmaciones son ridículas.

Mencionaste que participaste en Resupply por confiar en Curve, entonces, ¿qué relación crees que existe entre Resupply y Curve? ¿Crees que la actitud de "corte" de Curve después del evento es razonable?

Creo que se puede ver desde dos niveles. El primero es la lógica superficial: este proyecto realmente sirve a Curve y ha recibido el respaldo de Curve, además es un proyecto dentro del ecosistema de Curve.

Pero por otro lado, cualquier persona con un poco de juicio haría una razonable inferencia: mira el diseño de este protocolo, básicamente está hecho para servir a Curve, en otras palabras, tiene el papel de "hermano menor". De lo contrario, su existencia sería casi sin sentido, su lógica central es usar su propio token para subsidiar los ingresos del protocolo de Curve.

Dices que este tipo de cosas, que no buscan retribución y son pura transfusión, a menos que sea un amor verdadero, ¿quién lo haría? Especialmente su token, en ese momento pensé que este proyecto no duraría un mes, porque la historia en general no tiene atractivo, al final se trata solo de aportar un poco de volumen nuevo a la stablecoin de Curve, no tiene contenido sustancial.

Pero luego ves, que este precio se ha mantenido, se ha mantenido durante mucho tiempo. En ese momento pensé, ¿quién está sosteniendo esto? Pensando y pensando, la explicación más razonable es que Curve está sosteniendo. ¿Quién se beneficia de esto, quién tiene más motivación para estabilizar la situación? — es una inferencia de sentido común, aunque no hay pruebas contundentes, pero siempre que el cerebro funcione normalmente, probablemente todos puedan pensar en esto.

Antes de que ocurriera el problema, Curve proclamó con gran énfasis que este era un buen proyecto. Ahora que ha sucedido el problema, de inmediato se desvinculan, diciendo "solo es un proyecto ecológico, no tiene nada que ver conmigo". Esta actitud es similar a algunas noticias que vemos normalmente: una vez que hay un problema, es "trabajo temporal". Ahora incluso nosotros, los usuarios, hemos sido bloqueados; ¿hasta qué punto ha llegado esta situación?

Si no fuera por el respaldo de Curve, Resupply no podría haber recaudado tanto dinero. La razón por la que participamos no es por su equipo de desarrollo; de hecho, la reputación de ese equipo no es buena. Si solo estuvieran haciendo un proyecto por su cuenta, definitivamente no participaríamos.

Hay dos razones principales por las que elegimos participar: la primera es que su modelo de negocio gira en torno a la stablecoin de Curve, lo que lógicamente equivale a ayudar a Curve a crecer, esta relación de vinculación.