Entretien avec les victimes de Resupply : qui doit être responsable de ces 9,6 millions de dollars ?

Il y a une semaine, Resupply a subi des pertes financières. Le 26 juin, le marché des stablecoins de ce protocole DeFi a connu une faille de sécurité, entraînant la perte d'environ 9,6 millions de dollars d'actifs cryptographiques. En tant qu'un des premiers participants, le vétéran DeFi 3D a publié des vidéos de défense des droits sur sa chaîne Youtube pendant trois jours consécutifs. Nous avons contacté 3D pour discuter de ses réflexions sur cet événement en tant que perdant.

3D est à la fois un joueur de minage et un créateur de contenu. Dans l'entretien, il a exprimé ses doutes et ses émotions, et a également mentionné certaines règles non écrites peu connues dans l'industrie. Il a parlé de "l'aval par défaut" de Curve, de la réaction négative de l'équipe du projet face à l'incident de piratage, ainsi que des blocages et des humiliations subis par la communauté dans son processus de défense de ses droits.

Comparé à la perte d'argent, ce qui attriste le plus 3D est l'érosion de la confiance dans l'industrie. Il admet que, bien qu'il ne soit pas la personne ayant perdu le plus, il pourrait être le plus en colère — non seulement à cause de l'argent, mais aussi en raison du mépris et de l'humiliation de son identité d'utilisateur. Son expérience reflète le dilemme commun de nombreux participants à la DeFi : responsabilité floue, difficultés à défendre ses droits, normes morales en constante diminution.

Voici le contenu intégral de la conversation :

Veuillez faire une brève introduction de vous-même en 3D.

J'utilise le nom 3D en ligne. Je me consacre principalement à l'exploitation minière autonome. J'ai rejoint le monde des cryptomonnaies pendant le boom des ICO en 2017, mais j'ai vraiment commencé à me concentrer sur la DeFi et l'arbitrage à partir de l'été DeFi de 2020. En même temps, je gère une chaîne Youtube consacrée à l'arbitrage DeFi.

Combien de fonds sont actuellement affectés ? Comment évaluer ou mesurer l'ampleur des pertes réelles ?

La taille totale des fonds actuellement visible correspond essentiellement à la taille du fonds d'assurance, soit environ 38 millions de dollars.

Quelle proportion d'utilisateurs chinois représente-t-elle cette fois-ci ?

Je ne suis pas très sûr à ce sujet. Cependant, les premiers et les plus bruyants défenseurs des droits cette fois-ci étaient en effet moi et un autre utilisateur, Yishi, nous avons été les premiers à agir. Les utilisateurs chinois s'expriment de manière relativement concentrée, tandis qu'il y a quelques utilisateurs anglophones, mais le volume global est beaucoup plus faible.

Quelle est la solution actuelle ?

En termes simples, notre capital a directement perdu 15,5 %. La communauté espère que l'équipe du projet prendra plus de mesures, après tout, la perte totale est proche de dix millions de dollars. Un développeur de leur équipe a perdu environ 1,5 million, et ils ont également sorti environ 800 000 du trésor, couvrant au total un peu plus de 20 % des pertes.

Il semble que leur attitude soit de dire : "Regarde, nous avons aussi perdu de l'argent, alors ne creusons pas plus loin". Mais le problème est, pourquoi ne pas utiliser cet argent pour communiquer avec les hackers ? Par exemple, "Si tu rends l'argent, nous te donnerons cette partie en tant que récompense de white hat", n'est-ce pas une solution qui satisfait tout le monde ? Mais ils n'ont absolument pas fait cela.

Pourquoi avoir choisi ce protocole de minage au départ ?

J'ai commencé à participer au projet Resupply début avril. À l'époque, en parcourant Twitter, j'ai vu une personne que je suis depuis longtemps publier du contenu à ce sujet, puis j'ai vu que le compte officiel de Curve l'avait également retweeté, ce qui a attiré mon attention.

Maintenant, en regardant en arrière, il est très étrange du point de vue de la logique opérationnelle du projet. Cela ne semble pas vouloir générer des profits par lui-même, mais ressemble plutôt à un effort pour aider Curve à augmenter l'utilisation de crvUSD. En raison du manque d'applications réelles de crvUSD, un scénario d'utilisation a été créé de manière forcée par des mécanismes de conception, puis des incitations ont été utilisées pour encourager la participation.

D'un point de vue des participants comme nous, c'est comme si un grand personnage voulait améliorer les données de la plateforme, alors il demandait à son "petit frère" de faire le show. De plus, Curve a effectivement donné un certain niveau d'aval, donc nous ne pensions pas qu'il y avait de problème à ce moment-là.

Pour des personnes comme nous qui font du minage ou de l'arbitrage, lorsque nous rencontrons un nouveau projet, nous évaluons d'abord deux points clés : d'abord le produit lui-même, comment fonctionne-t-il réellement ? D'où provient l'argent que vous gagnez ? Ensuite, il y a l'historique de l'équipe du projet, c'est-à-dire que les informations "sur le marché" et "hors marché" doivent être suffisamment recherchées. Selon mon évaluation à l'époque, la logique de ce produit, Resupply, est relativement simple et intuitive.

Que penses-tu qui devrait être responsable après l'incident ? Quelles décisions clés l'équipe Resupply a-t-elle prises après l'incident ? En comparaison avec des plateformes de protocoles DeFi établies, quelles sont les différences évidentes dans leurs processus de réponse ?

Je pense que leur plus grand problème en matière de gestion de crise est le manque total de conscience de la situation. Dès le premier moment, ils n'ont même pas fait les choses les plus basiques. Cela peut être vérifié par tout le monde en ligne, et le grand maître Yuxian l'a également mentionné : ils n'ont ni appelé publiquement les hackers, ni publié d'annonce pour expliquer la situation, et n'ont pas activé de mécanismes juridiques ou de responsabilité – même pas essayé de communiquer avec les hackers, c'était complètement négligé.

Les autres projets publient au moins des annonces, suspendent les contrats, contactent des hackers éthiques et tentent de récupérer des fonds, mais ils n'ont fait aucune de ces opérations de base. Ils agissent comme si rien ne s'était passé.

Nous ne comprenons pas non plus pourquoi l'équipe du projet ne communique pas activement avec la communauté. Cet incident a causé près de dix millions de pertes, tandis que leur équipe n'a contribué qu'environ 1,5 million, et avec environ 800 000 provenant de la trésorerie du projet, cela ne couvre au total que 20 % des pertes. De toute évidence, cela semble n'être qu'un geste symbolique, une goutte d'eau dans l'océan.

Leur attitude est essentiellement "Regardez, nous avons aussi perdu de l'argent, ne nous embêtez plus. " Mais le problème est qu'ils auraient clairement pu utiliser cet argent pour négocier avec les hackers, en précisant que tant que vous nous rendez l'argent, cela serait considéré comme une récompense de chapeau blanc, et tout le monde serait content. Mais ils n'ont absolument pas pris cette mesure.

Le premier point est qu'ils se montrent extrêmement passifs, voire complètement inactifs, en ce qui concerne la récupération des actifs des hackers. Cela fait plusieurs jours depuis l'incident de jeudi dernier, et il n'y a toujours pas de progrès substantiel.

Le deuxième point est leur attitude extrêmement arrogante et indifférente envers la communauté. Dès que l'incident s'est produit, beaucoup d'entre nous ont immédiatement posé des questions, mais ils ont simplement déclaré : "C'est aux personnes du fonds d'assurance de supporter les pertes", sans même laisser un espace de discussion de base. Nous avons remis en question leur approche, en disant que le document ne stipule pas que les utilisateurs doivent supporter de telles pertes, mais nous avons été moqués, attaqués, et même directement bannis.

Ils ont aussi dit : "Vous avez gagné un rendement annuel de 17 %, donc vous devez assumer les risques correspondants." Cette logique est complètement infondée, nous avons simplement participé à une stratégie de 17 % par an, ce qui ne signifie pas que nous devons assumer l'entière responsabilité en cas de vol du protocole.

Les retours dans notre groupe sont unanimes, ce n'est pas tant la perte d'argent qui est le plus douloureux, mais plutôt l'expérience d'être humilié et bloqué sur la plateforme de communication qui est plus frustrante. La raison pour laquelle cet incident a suscité une réaction si forte est due à deux raisons principales : l'inaction de l'équipe du projet et leur mépris envers les utilisateurs.

S'ils ne peuvent vraiment pas se permettre de perdre, ils pourraient adopter une attitude claire, par exemple en sortant d'abord 3 millions, laissant les 7 millions restants à tous les utilisateurs à partager proportionnellement, ce qui serait mieux que la situation actuelle. Mais leur façon de gérer les choses est de "prendre" directement les utilisateurs du fonds d'assurance et de leur faire assumer toute la responsabilité. Leur objectif est également très clair : ils veulent préserver le fonctionnement continu du protocole et empêcher le projet de mourir.

Le plus ironique, c'est que dans l'annonce qu'ils ont publiée à l'époque, ils ont à peine mentionné le montant des pertes, se contentant de dire qu'ils avaient rencontré un bug, qu'ils avaient suspendu un marché, et que tout le reste continuait comme d'habitude. Cette manière de divulguer l'information est très irresponsable.

Pire encore, des hackers ont exploité une vulnérabilité pour frapper dix millions de stablecoins sans coût et les vendre sur le marché, brisant directement le mécanisme de surcollatéralisation qui existait auparavant, de sorte qu'il n'y a plus d'actifs suffisants pour soutenir les stablecoins. Dans ce contexte, l'équipe du projet n'a toujours pas suspendu le protocole, laissant les utilisateurs gérer eux-mêmes leurs retraits.

Le résultat est que les utilisateurs réactifs ont retiré leurs fonds, tandis que les utilisateurs du fonds d'assurance, en raison d'un délai de 7 jours pour le retrait, ont été complètement bloqués. Plus absurde encore, ils ont proposé une nouvelle proposition visant à suspendre les retraits du fonds d'assurance, gelant davantage les actifs des utilisateurs. Quant à leur affirmation selon laquelle "les créances douteuses doivent être prises en charge par le fonds d'assurance", il n'y a tout simplement aucun précédent dans les protocoles DeFi. Ils ont une fois de plus franchi la ligne de fond de l'industrie, sans aucune rationalité de gouvernance.

Y a-t-il eu des projets auparavant qui ont utilisé ce fonds d'assurance pour couvrir des pertes ?

Il n'y a aucun précédent pour les pertes causées par des hackers assumées par le pool d'assurance.

Il y a trois manières de participer au projet Resupply : le staking, le prêt circulaire et la constitution d'un pool de liquidité. Du point de vue des utilisateurs, le staking est le groupe le plus conservateur, mais maintenant il doit assumer tous les risques. La question centrale réside dans les attentes des utilisateurs concernant le pool d'assurance, nous pensons tous qu'il ne couvrira que les pertes dues aux fluctuations du marché.

À l'époque, j'ai fait une comparaison pas très précise pour expliquer la situation : c'est un peu comme si vous achetiez un produit d'investissement sur une plateforme de trading, et que cette plateforme se faisait voler. Elle vous dit : "Vous n'êtes pas venu pour déposer de l'argent ? Alors, les pertes seront partagées, surtout par vous, les utilisateurs qui ont acheté des produits d'investissement." Au final, l'argent perdu est uniquement déduit des fonds des utilisateurs d'investissement, les autres ne sont pas affectés.

En fait, certaines bourses ont été piratées par le passé, et tous les utilisateurs ont supporté les pertes proportionnellement, mais ce n'est pas le cas cette fois-ci. Ils ne laissent que les utilisateurs du fonds d'assurance supporter l'intégralité des pertes. Leur logique est : "Si vous voulez obtenir 2 % d'intérêt annuel, vous devez en assumer la responsabilité." Il y a même des gens qui disent que "rien n'est gratuit", ce qui signifie que si vous avez obtenu un rendement annuel de 17 %, vous devez supporter les pertes causées par ce vol, ce qui est complètement absurde.

Vous avez mentionné avoir participé à Resupply en raison de votre confiance en Curve, quelle relation pensez-vous qu'il existe entre Resupply et Curve ? Pensez-vous que l'attitude de "découpage" de Curve après l'événement est raisonnable ?

Je pense que cela peut être vu sous deux angles. Le premier est la logique apparente - ce projet sert effectivement Curve et a le soutien de Curve, il fait lui-même partie de l'écosystème Curve.

Mais d'un autre côté, une personne ayant un peu de jugement fera un raisonnement raisonnable : regardez la conception de ce protocole, il est essentiellement destiné à servir Curve, en d'autres termes, il joue le rôle de "petit frère". Sinon, son existence n'aurait presque aucun sens, sa logique fondamentale consiste à utiliser son propre jeton pour subventionner les revenus du protocole de Curve.

Tu dis que ce genre de choses, où l'on ne cherche pas de retour et où l'on donne purement et simplement, à moins que ce ne soit un véritable amour, qui le ferait ? Surtout en ce qui concerne son jeton, à l'époque je pensais que ce projet ne tiendrait pas un mois, car l'histoire globale n'avait rien d'attrayant, au fond c'était juste pour donner un peu de volume supplémentaire à la stablecoin de Curve, sans contenu substantiel.

Mais ensuite, tu vois, ce prix a réussi à se stabiliser, et cela a duré longtemps. À ce moment-là, je me demandais qui était en train de soutenir le marché ? Après réflexion, l'explication la plus raisonnable est que c'est Curve lui-même qui soutient. Qui en bénéficie, qui a le plus de motivation pour stabiliser la situation - c'est un raisonnement de bon sens, bien qu'il n'y ait pas de preuves concrètes, mais tant que l'on a un esprit normal, on peut à peu près en arriver à cette conclusion.

Avant que l'incident ne se produise, Curve a hautement déclaré que c'était un bon projet. Maintenant que l'incident s'est produit, ils se déchargent immédiatement en disant "c'est juste un projet écologique, ça ne me concerne pas". Cette attitude ressemble à certaines nouvelles que nous voyons habituellement : dès qu'il y a un problème, c'est "un travailleur temporaire qui s'en est occupé". Maintenant, même nous, les utilisateurs, avons été bannis. À quel point cette affaire a-t-elle dégénéré ?

Sans le soutien de Curve, Resupply n'aurait tout simplement pas pu lever autant de fonds. La raison pour laquelle nous participons n'est pas à cause de son équipe de développement - en réalité, la réputation de cette équipe n'est pas très bonne. Si c'était seulement eux qui faisaient un projet, nous ne participerions certainement pas.

Les deux raisons qui nous ont vraiment poussés à participer sont les suivantes : premièrement, son modèle commercial est centré autour des stablecoins de Curve, ce qui, logiquement, équivaut à aider Curve à croître, cette relation de lien.