Resupply mağdurlarıyla Röportaj: Bu 9.6 milyon dolardan kim sorumlu?

Resupply'in fon kaybı yaşamasının üzerinden bir hafta geçti. 26 Haziran'da, bu DeFi protokolünün stabilcoin pazarında bir güvenlik açığı ortaya çıktı ve yaklaşık 9.6 milyon dolarlık kripto varlık kaybedildi. Erken katılımcılardan biri olarak, DeFi tecrübeli oyuncusu 3D, Youtube kanalında üç gün boyunca hak arayışına yönelik videolar yayınladı. 3D ile iletişime geçtik ve kaybeden olarak bu olay hakkında bir dizi düşüncesini tartıştık.

3D hem madencilik oyuncusu hem de içerik yaratıcıdır. Röportajında, kendi sorgulamalarını ve duygularını ifade etti ve sektörde pek bilinmeyen bazı gizli kurallara da değindi. Curve'ün "varsayılan onayı" hakkında, proje ekibinin hacker olaylarına yönelik olumsuz tepkisini ve topluluğun haklarını savunma sürecinde karşılaştığı yasaklamalar ve aşağılamaları konuştu.

Paranın kaybıyla kıyaslandığında, 3D'yi daha çok üzen şey sektör güveninin sarsılmasıdır. En çok kaybeden kişi olmasa da, muhtemelen en öfkeli olanıdır - sadece para yüzünden değil, aynı zamanda kullanıcı kimliğinin göz ardı edilmesi ve aşağılanması nedeniyle. Onun deneyimi, birçok DeFi katılımcısının ortak sıkıntısını yansıtıyor: sorumlulukların belirsizliği, hak arama zorluğu ve ahlaki standartların sürekli düşmesi.

Aşağıda konuşmanın tamamı yer almaktadır:

Lütfen 3D önce basit bir özgeçmiş yapın.

İnternette 3D ismini kullanıyorum. Şu anda ana olarak kendi madencilik işlerimle ilgileniyorum. 2017'deki ICO çılgınlığıyla kripto para dünyasına girdim, ancak gerçekten DeFi ve arbitraj üzerine odaklanmaya 2020 yazındaki DeFi yazıyla başladım. Aynı zamanda DeFi arbitrajına odaklanan bir YouTube kanalı da işletiyorum.

Şu anda yaklaşık ne kadar fon zarar gördü? Gerçek kaybın ölçeği nasıl tahmin edilir veya ölçülür?

Şu anda görülebilen toplam fon ölçeği, yaklaşık 38 milyon dolar olan sigorta havuzunun ölçeği ile temelde aynıdır.

Bu sefer Çince kullanıcıların oranı yaklaşık ne kadar?

Bu konuda pek bir bilgim yok. Ancak bu sefer en erken ve en yüksek sesle hak arayanlar gerçekten ben ve başka bir kullanıcı Yishi'dik, biz öncülük edenleriz. Çince kullanıcılar burada daha yoğun bir şekilde seslerini çıkarıyor, İngilizce kullanıcılar da var ama genel ses seviyesi oldukça düşük.

Mevcut çözüm nedir?

Kısacası, ana sermayemiz doğrudan %15,5 kaybetti. Topluluk, proje ekibinin daha fazla adım atmasını umuyor, ne de olsa bu seferki toplam kayıp neredeyse on milyon dolar. Ekibin bir geliştiricisi yaklaşık 1,5 milyon harcadı ve hazineden yaklaşık 800 bin aldı, toplamda kaybın %20'sinden biraz fazlasını karşıladı.

Onların tutumu sanki şöyle diyor: "Görüyorsun, biz de para kaybettik, o yüzden daha fazla sorgulama yapma." Ama sorun şu ki, neden bu parayı hackerlarla iletişim kurmak için kullanmıyorlar? Mesela, "Eğer parayı geri verirsen, bu kısmı sana beyaz şapkalı ödül olarak verebiliriz" demek, bu herkes için mutlu edici olmaz mı? Ama bunu tamamen yapmadılar.

Neden bu protokol madenciliğini seçtiniz?

Ben yaklaşık Nisan ayı başında Resupply projesine katılmaya başladım. O zaman Twitter'da uzun zamandır takip ettiğim bir kişinin ilgili içerikleri paylaştığını gördüm, ardından Curve resmi hesabının da bunu retweet ettiğini görünce dikkatimi çekti.

Şimdi geriye dönüp baktığımızda, proje işletim mantığı açısından oldukça garip görünüyor. Kendi karını elde etmek istemiyormuş gibi görünüyor, daha çok Curve'ün crvUSD kullanımını artırmaya yardımcı oluyormuş gibi. Çünkü crvUSD'nin kendisi gerçek bir kullanım alanından yoksun, tasarım mekanizması aracılığıyla zorla bir kullanım senaryosu oluşturdu ve ardından insanları katılmaya yönlendirmek için teşvikler kullandı.

Biz katılımcılar açısından bakıldığında, bu, bir büyük ismin platform verilerini artırmak istemesi ve kendi "çocuklarını" sahneye çıkarması gibi. Ayrıca Curve gerçekten belirli bir düzeyde bir onay veriyordu, bu yüzden o zamanlar herhangi bir sorun olduğunu düşünmedik.

Madencilik veya arbitraj yapanlar olarak, yeni projelerle karşılaştığımızda öncelikle iki kritik noktayı değerlendiriyoruz: Öncelikle ürünün kendisi, nasıl çalışıyor? Kazandığınız para nereden geliyor? İkincisi, projenin arka planı, yani "piyasa içi" ve "piyasa dışı" bilgilerin yeterince araştırılması gerekiyor. O zamanki değerlendirmeme göre, Resupply ürününün mantığı oldukça basit ve açıktı.

Olaydan sonra kimin sorumlu olması gerektiğini düşünüyorsun? Resupply ekibi olaydan sonra hangi kritik kararları aldı? Olgun DeFi protokol platformlarıyla karşılaştırıldığında, onların tepki süreçlerinde belirgin farklar nelerdir?

Bence onların sonrasında yaşadıkları en büyük sorun, tamamen bir kriz yönetimi bilincinin eksikliğidir. İlk anda en temel şeyleri bile yapmadılar. Bunu herkes internette bulabilir; Yüxian büyük usta da bahsetti: Ne hackerlara açık bir çağrıda bulundular, ne durumu açıklayan bir bildiri yayınladılar, ne de herhangi bir yasal ya da sorumluluk mekanizması başlattılar - hackerlarla iletişim kurmaya yönelik bir deneme bile yapmadılar, tamamen kayıtsız kaldılar.

Diğer projeler en azından duyuru yapar, sözleşmeleri askıya alır, beyaz şapkalı hackerlarla iletişime geçer ve fonları geri almaya çalışır, bu temel işlemleri hiç yapmadılar. Sanki hiçbir şey olmamış gibi davrandılar.

Biz de anlamıyoruz, neden proje ekibi toplulukla aktif bir şekilde iletişim kurmuyor. Tüm olay yaklaşık on milyon kayba neden oldu, ancak ekipten sadece bir geliştirici yaklaşık 1.5 milyon çıkardı, ayrıca proje kasasından yaklaşık 800 bin çıkarıldı, toplamda kaybın sadece %20'sini kapsıyor. Bunu nasıl görüyorsanız, bu sadece sembolik bir "anlam vermek", damla damla su.

Tutumları temelde "Görüyorsun, biz de para kaybettik, artık bize sıkıntı çıkarma." şeklindeydi. Ama sorun şu ki, bu parayı alıp hackerlarla pazarlık yapabilirlerdi, sadece parayı geri verirsen, bunun beyaz şapka ödülü sayılacağını net bir şekilde belirtebilirlerdi, herkes mutlu olurdu. Ama bu tür bir önlem almadılar.

İlk nokta, hacker varlıklarını geri alma konusunda son derece pasif davrandıkları, hatta tamamen hareketsiz kaldıklarıdır. Geçen Perşembe günü meydana gelen olaydan bu yana birkaç gün geçti ve hala somut bir ilerleme kaydedilmedi.

İkinci nokta, topluluğa karşı son derece kibirli ve kayıtsız olmalarıdır. Olay ortaya çıktığında, birçok kullanıcı hemen sorular sormaya gitti, ancak onlar doğrudan "sigorta havuzundaki insanlar kaybı üstlenecek" şeklinde bir tanım yaptılar, hatta temel bir tartışma alanı bile yaratmadılar. Onların uygulamalarını sorguladık, belgelerde kullanıcıların böyle bir kaybı üstlenmesi gerektiğine dair bir açıklama olmadığını söyledik, ancak sonuç olarak alay edildik, saldırıya uğradık ve hatta doğrudan hesaplarımız kapatıldı.

Onlar ayrıca "Yıllık %17 kazanç sağladınız, bu yüzden ilgili riski üstlenmelisiniz." dediler. Bu mantık tamamen geçersiz, biz sadece yıllık %17'lik bir stratejiye katıldık, bu bizim protokolün çalınmasından tamamen sorumlu olduğumuz anlamına gelmez.

Grup içerisindeki geri bildirimlerimiz oldukça tutarlı; en çok para kaybetmek değil, iletişim platformlarında aşağılanmak ve engellenmek deneyimi daha fazla öfke yaratıyor. Bu olayın bu kadar güçlü bir tepki yaratmasının temel nedenleri iki tanedir: projenin pasif kalması ve kullanıcıları küçümsemeleri.

Eğer gerçekten kaybetmeye gücünüz yoksa, net bir tutum sergileyebilirsiniz, örneğin önce 3 milyon çıkararak, kalan 7 milyonun tüm kullanıcılar tarafından orantılı olarak paylaşılmasını sağlayabilirsiniz ki bu şu andan daha iyi bir durumdur. Ancak onların yaklaşımı, doğrudan sigorta havuzundaki kullanıcıları "ayırarak" tüm sorumluluğu üstlenmeleridir. Bunu yapmalarının amacı da çok açıktır, protokolün devamını sağlamak ve projeyi öldürmemektir.

En ironik olanı, o dönemde yayınladıkları duyuruda kayıp miktarını neredeyse hiç bahsetmemeleri, sadece bir açığın bulunduğunu söyleyerek bir piyasayı askıya aldıklarını, diğerlerinin ise normal şekilde devam ettiğini belirtmeleridir. Bu tür bir bilgi açıklama yöntemi son derece sorumsuzdur.

Daha da kötü olan, hackerların bir açık aracılığıyla sıfır maliyetle on milyon stabil coin basarak piyasayı etkilediği, bu durumun aşırı teminat mekanizmasını doğrudan bozduğu ve stabil coinlerin arkasında artık yeterli varlık desteklemesi olmadığıdır. Bu durumda, proje ekibi yine de protokolü durdurmadı ve kullanıcıların kendi başlarına yatırım çekmelerine izin verdi.

Sonuç olarak, hızlı reaksiyon gösteren kullanıcılar fonlarını çekti, ancak sigorta havuzundaki kullanıcılar 7 günlük gecikmeden dolayı tamamen kilitlendi. Daha da tuhaf olanı, sigorta havuzundan çekimlerin durdurulmasını talep eden yeni bir öneri sunmaları ve kullanıcı varlıklarını daha da dondurmaları. "Kötü alacaklar sigorta havuzu tarafından karşılanmalı" dedikleri için, bu DeFi protokolünde asla bir emsal yok. Sektörün sınırlarını bir kez daha aştılar ve tamamen hiçbir yönetişim makuliyeti yok.

Daha önce bu sigorta havuzunun kayıpları üstlendiği herhangi bir proje var mı?

Sigorta havuzu, hackerların neden olduğu kayıpları üstlenmekte tamamen benzeri görülmemiştir.

Resupply projesine katılmanın sadece üç yolu vardır: staking, döngüsel kredi, likidite havuzları oluşturma. Kullanıcı beklentileri açısından, staking en temkinli grup olarak görülüyor, ancak şu anda tüm riski üstlenmek zorundalar. Temel sorun, kullanıcıların sigorta havuzuna ilişkin beklentisidir; hepimiz bunun yalnızca piyasa dalgalanmalarının neden olduğu kötü borçları karşılayacağını düşünüyoruz.

O zaman bu durumu açıklamak için pek doğru olmayan bir benzetme yaptım: Sanki bir ticaret platformunda yatırım ürünü satın alıyorsunuz, sonuç olarak bu platform çalındı, size diyor ki, "Sen para yatırmaya mı geldin? O zaman kaybı herkes birlikte paylaşsın, özellikle de yatırım yapan kullanıcılar bunu paylaşsın." Sonunda, kaybedilen paralar sadece yatırımcı kullanıcıların fonlarından kesiliyor, diğerleri etkilenmiyor.

Aslında geçmişte bazı borsalar hacklendiğinde, tüm kullanıcılar kaybı orantılı olarak üstleniyordu, ama bu sefer değil. Sadece sigorta havuzundaki kullanıcıların tüm kayıpları üstlenmesine izin verdiler. Mantıkları şu: "%2 yıllık faiz kazanmak istiyorsan, bunun için sorumluluk alman gerekir." Hatta bazıları "bedava öğle yemeği yoktur" gibi şeyler söylüyor, yani %17 yıllık getiri elde ettiysen, bu hırsızlık sonucunda oluşan kaybı da üstlenmelisin, bu söylem çok saçma.

Curve'e güvenerek Resupply'a katıldığını belirttin, peki Resupply ile Curve arasında ne tür bir ilişki olduğunu düşünüyorsun? Olaydan sonraki Curve'ün "kesme" tutumunu mantıklı buluyor musun?

Bunu iki açıdan değerlendirebileceğimi düşünüyorum. Birincisi yüzeysel mantık - bu proje gerçekten Curve'e hizmet ediyor ve Curve tarafından destekleniyor, aynı zamanda Curve ekosistemindeki bir proje.

Ama diğer taraftan, biraz sağduyuya sahip olan herkes mantıklı bir çıkarımda bulunabilir: Bu protokolün tasarımına bakarsanız, esasen Curve'e hizmet vermek için oluşturulmuş, açıkçası bir "küçük kardeş" rolü üstleniyor. Aksi takdirde, varlığının neredeyse hiçbir anlamı yok; temel mantığı, kendi token'larını kullanarak Curve'ün protokol gelirini sübvanse etmek.

Böyle bir karşılık beklemeden, saf bir şekilde kan verme meselesini, eğer gerçek bir aşk değilse, kim yapar ki? Özellikle de onun token'ı için, ben o zaman bu projenin bir ay bile dayanamayacağını düşünmüştüm, çünkü genel hikaye pek çekici değildi, sonuçta sadece Curve'ün stabilcoin'ine biraz yeni miktar kazandırmak için vardı, içeriği açısından pek bir şey yoktu.

Ama daha sonra görüyorsun ki, bu fiyat gerçekten de sabitlendi, uzun bir süre sabit kaldı. O zaman ben de düşünüyordum, bu durumu kim destekliyor? Uzun uzun düşündüm, en makul açıklama Curve'ün kendisinin desteklediği. Kim fayda sağlıyor, durumu sabit tutmak için en çok kim motive oluyor - bu bir mantık yürütmesi, belki somut bir kanıt yok ama eğer beyin normalse, muhtemelen herkes bunu düşünebilir.

Bir sorun çıkmadan önce, Curve yüksek sesle bunun iyi bir proje olduğunu söyledi, şimdi sorun çıkınca hemen kendini sıyırıyor ve "sadece ekosistem projesi, benimle bir ilgisi yok" diyor. Bu tutum, günlük hayatta gördüğümüz bazı haberlerle aynı: Bir sorun olduğunda, "geçici işçiler yaptı". Şimdi biz kullanıcıların bile hesapları kapatıldı, bu işin ne kadar ciddiye gittiğini söyleyebilirsin?

Eğer Curve'ün onayı olmasaydı, Resupply bu kadar para toplayamazdı. Katılmamızın sebebi, geliştirme ekibinin kalitesi değil; aslında bu ekibin itibarı pek iyi değil. Eğer sadece kendi başlarına bir proje yapsalardı, kesinlikle katılmazdık.

Gerçekten katılmamızı sağlayan iki neden var: Birincisi, iş modeli Curve'ün stabilcoin'leri etrafında dönüyor, mantıken Curve'ün büyümesine yardımcı olmakla eşdeğer, bu tür bir bağ.