Інтерв'ю з жертвою Resupply: хто несе відповідальність за ці 9,6 мільйона доларів?

Минуло тиждень з моменту, коли Resupply зазнав фінансових збитків. 26 червня на ринку стейблкоінів цього DeFi-протоколу виникла уразливість безпеки, що призвела до втрати близько 9,6 мільйона доларів криптоактивів. Як один з ранніх учасників, досвідчений гравець DeFi 3D протягом трьох днів публікував відео захисту прав на своєму Youtube-каналі. Ми зв’язалися з 3D, щоб обговорити його роздуми про цю подію як про постраждалого.

3D є як гравцем у видобутку, так і творцем контенту. У інтерв'ю він висловив свої сумніви та емоції, а також згадав про деякі неписані правила в індустрії. Він говорив про "дефолтну підтримку" Curve, негативну реакцію команди проєкту на хакерські інциденти, а також про блокування та приниження, з якими стикалася спільнота під час захисту своїх прав.

В порівнянні з фінансовими втратами, 3D більше засмучує підрив довіри до галузі. Він зізнається, що хоч і не є тим, хто зазнав найбільших втрат, він, напевно, найбільше розгніваний — не лише через гроші, а й через те, що його статус користувача був знехтуваний і принижений. Його досвід відображає спільну проблему багатьох учасників DeFi: невизначеність відповідальності, складнощі з захистом прав та постійне зниження моральних стандартів.

Ось весь зміст розмови:

Будь ласка, 3D, спочатку зробіть просте самопрезентацію.

Я використовую ім'я 3D в Інтернеті. Наразі я в основному займаюся самостійним видобутком. Я увійшов у світ криптовалют під час ICO-сплеску в 2017 році, але насправді почав зосереджуватися на DeFi та арбітражі з початку літа DeFi у 2020 році. Водночас я також веду YouTube-канал, присвячений арбітражу в DeFi.

На даний момент приблизно скільки коштів постраждало? Як оцінити або виміряти фактичний обсяг втрат?

Зараз загальний обсяг коштів, які можна побачити, в основному дорівнює розміру страхового фонду, приблизно 38 мільйонів доларів.

То яка частка китайських користувачів цього разу?

Це я не зовсім впевнений. Але найбільш ранніми та голосними захисниками прав дійсно були я та інший користувач Yishi, ми були на передовій. Китайські користувачі висловлюються досить активно, англомовні користувачі також мають певну активність, але загалом їхня голосність набагато менша.

Яке тепер рішення?

Простими словами, наш капітал безпосередньо втратив 15,5%. Спільнота дуже сподівається, що команда проекту вживає більше заходів, адже загальні втрати цього разу наближаються до десяти мільйонів доларів. Один з розробників їх команди вніс близько 1,5 мільйона, а також витягнув з казначейства близько 800 тисяч, що загалом покриває трохи більше 20% втрат.

Їхнє ставлення, здається, говорить: "Ось, ми також втратили гроші, так що не варто більше цим займатися". Але питання в тому, чому б не використати ці гроші для переговорів з хакерами? Наприклад: "Якщо ти повернеш гроші, ми віддамо цю частину як винагороду білим капелюшкам", хіба це не буде вигідно для всіх? Але вони зовсім не зробили цього.

Чому спочатку було обрано цей протокол для майнінгу?

Я почав брати участь у проекті Resupply приблизно на початку квітня. Тоді, переглядаючи Twitter, я побачив, як людина, за якою я давно стежив, опублікувала відповідний контент, а потім побачив, що офіційний Curve також ретвітнув це, що привернуло мою увагу.

Тепер, якщо подивитися назад, з точки зору логіки функціонування проекту, це виглядає досить дивно. Схоже, що він не має на меті отримання прибутку, а скоріше допомагає Curve підвищити використання crvUSD. Оскільки crvUSD сам по собі не має реального використання, він примусово створив сценарій використання через механізм проектування, а потім заохотив людей брати участь.

З точки зору нас, учасників, це схоже на те, як великий гравець хоче підвищити дані платформи, тому він відправляє свого "молодшого" підвищити статус. І Curve дійсно надала певну міру підтримки, тому ми тоді також не вважали, що є якісь проблеми.

Якщо ми займаємося майнінгом або арбітражем, при зустрічі з новим проектом ми завжди оцінюємо два ключові моменти: по-перше, сам продукт, як він працює? Звідки ви отримуєте свої доходи? По-друге, фонди проекту, тобто так звану "внутрішню" та "зовнішню" інформацію, потрібно ретельно дослідити. На той час я вважав, що логіка продукту Resupply відносно проста і зрозуміла.

Тож, кого ти вважаєш відповідальним після того, як сталося лихо? Які ключові рішення команда Resupply прийняла після події? Якщо порівняти з розвиненими платформами DeFi, які очевидні відмінності у їхніх процесах реагування?

Я вважаю, що їхньою найбільшою проблемою в управлінні кризовими ситуаціями є повна відсутність усвідомлення необхідності реагування на кризу. З самого початку навіть найосновніші дії не були виконані. Це все можна знайти в Інтернеті, також про це згадував і пан Юйсін: вони ні разу не звернулися до хакера публічно, не оприлюднили заяву про ситуацію і навіть не активували жодних юридичних чи відповідальних механізмів — навіть не намагалися зв'язатися з хакером, повністю ігноруючи ситуацію.

Інші проекти принаймні публікують оголошення, призупиняють контракти, контактують з білими хакерами, намагаються повернути кошти, ці основні дії вони не зробили. Вони поводяться так, як ніби нічого не сталося.

Ми також не розуміємо, чому команда проекту не активно спілкується з громадою. Уся подія призвела до втрат майже в десять мільйонів, а один розробник їхньої команди вніс лише близько 1,5 мільйона, плюс проектний фонд виділив приблизно 800 тисяч, що в загальному покриває лише близько 20% втрат. Як не поглянь, це виглядає як символічний "жест", крапля в морі.

Їхнє ставлення в основному таке: "Подивіться, ми теж втратили гроші, не турбуйте нас більше." Але проблема в тому, що вони чітко можуть використати ці гроші для переговорів з хакерами, пояснивши, що якщо вони повернуть гроші, то ця сума буде вважатися винагородою для білих капелюхів, і всі будуть щасливі. Але вони зовсім не вжили таких заходів.

Перший момент полягає в тому, що вони виявляють надзвичайну пасивність у питанні повернення активів, викрадених хакерами, або навіть повну бездіяльність. Від моменту інциденту в минулий четвер пройшло кілька днів, і досі немає суттєвих зрушень.

Другий момент полягає в тому, що їхнє ставлення до спільноти надзвичайно зарозуміле і байдужне. Як тільки ситуація виникла, багато наших користувачів відразу почали запитувати, а вони просто заявили: "Люди з страхової ліквідності повинні нести збитки", навіть не надаючи базового простору для обговорення. Ми поставили під сумнів їхні дії, вказуючи, що в документації не зазначено, що користувачі повинні нести такі збитки, в результаті чого нас почали висміювати, атакувати, а деяких навіть просто заблокували.

Вони також сказали: "Ви отримали 17% річних прибутків, тому повинні взяти на себе відповідні ризики." Ця логіка абсолютно безпідставна, ми лише брали участь у стратегії з 17% річних, що не означає, що ми повинні нести всю відповідальність за крадіжку протоколу.

Зворотній зв'язок у нашій групі дуже одностайний: не стільки втрати грошей завдають болю, скільки досвід приниження та блокування на платформі спілкування викликає більшу лють. Основні причини такої сильної реакції на цю подію полягають у двох аспектах: бездіяльності проекту та зневазі до користувачів.

Якщо вони справді не можуть виплатити, можна чітко висловити свою позицію, наприклад, спочатку виділити 3 мільйони, а решту 7 мільйонів нехай усі користувачі розподілять пропорційно, це вже краще, ніж зараз. Але їхній спосіб вирішення полягає в тому, що вони просто «вибирають» користувачів з страхового пулу та покладають на них всю відповідальність. Мета їхніх дій також дуже чітка – зберегти функціонування протоколу, щоб проект не зник.

Найіронічніше, що в їхньому оголошенні, яке вони тоді випустили, майже не згадувалася сума збитків, лише м'яко зазначалося, що вони зіткнулися з вразливістю, призупинили один ринок, а інші продовжували працювати, такий спосіб розкриття інформації є вкрай безвідповідальним.

Більш серйозно, хакери через вразливість за нульовою вартістю випустили десять мільйонів стабільних монет для продажу на ринку, що безпосередньо порушило механізм надмірного забезпечення, внаслідок чого за стабільними монетами більше не було достатньо активів для підтримки. У цій ситуації команда проекту все ще не призупинила протокол, дозволяючи користувачам самостійно виводити свої кошти.

Результат полягає в тому, що ті користувачі, які швидко реагували, вивели свої кошти, а користувачі страхового пулу були повністю заблоковані через 7-денне затримання виведення. Ще більш абсурдно, що вони запропонували нову пропозицію — призупинити виведення з страхового пулу, що ще більше заморожує активи користувачів. Щодо їхнього висловлювання "погані борги мають покриватися страховим пулом", це взагалі не має прецеденту в DeFi-протоколах. Вони знову перетнули межу індустрії, абсолютно не маючи жодної розумної аргументації для управління.

Чи були раніше проекти, які зазнали збитків за рахунок цього страхового фонду?

Страховий пул, що покриває збитки, спричинені хакерами, є абсолютно безпрецедентним.

Участь у проекті Resupply можливе лише трьома способами: стейкінг, циклічні позики, формування ліквідних пулів. З точки зору очікувань користувачів, стейкінг є найбільш консервативною групою, проте зараз їй доводиться нести всі ризики. Основна проблема полягає в очікуваннях користувачів щодо страхового фонду; ми всі вважаємо, що він лише покриє погані борги, спричинені коливаннями ринку.

Я тоді навів не зовсім точний приклад, щоб пояснити цю ситуацію: це як якщо б ви купили інвестиційний продукт на якійсь торговельній платформі, а потім ця платформа була зламаною, і вона сказала вам: "Ви ж прийшли, щоб покласти гроші? Тож втрати ми нестимемо всі разом, особливо ви, користувачі, які купили інвестиційні продукти". Врешті-решт, втрачені гроші будуть списані лише з коштів інвестиційних користувачів, інші не постраждають.

Насправді раніше деякі біржі піддавалися крадіжці, і всі користувачі ділили збитки пропорційно, але цього разу не так. Вони лише дозволили користувачам страхової каси нести всі втрати. Їхня логіка така: "Якщо ти хочеш отримати 2% річних, ти повинен нести відповідальність за це." Навіть є люди, які кажуть: "У світі немає безкоштовного обіду", що означає, що якщо ти отримав 17% річних, ти повинен нести втрати від цієї крадіжки, така точка зору просто абсурдна.

Ви згадали, що брали участь у Resupply через довіру до Curve, які, на вашу думку, існують зв'язки між Resupply та Curve? Чи вважаєте ви, що «розподільча» позиція Curve після події є обґрунтованою?

Я вважаю, що на це можна поглянути з двох сторон. Перший - це поверхнева логіка - цей проект дійсно служить Curve і отримав підтримку від Curve, він також є проектом в екосистемі Curve.

Але з іншого боку, люди з певним судженням зроблять розумний висновок: ви подивіться на дизайн цього протоколу, він в основному призначений для надання послуг Curve, простими словами, це роль "молодшого брата". Інакше його існування практично не має сенсу, його основна логіка полягає в тому, щоб використовувати власні токени для субсидування доходу протоколу Curve.

Ти кажеш, що такі безкорисливі, чисто благодійні справи, якщо це не справжня любов, то хто їх робитиме? Особливо враховуючи, що його токен, я тоді думав, що цей проект не протримається й місяця, тому що загальна історія не має привабливості, по суті, це просто для того, щоб додати трохи нових обсягів до стабільної монети Curve, нічого суттєвого.

Але потім ти подивись, ця ціна виявилася стабільною, стабільною дуже довго. Я тоді думав, хто ж це тримає? Думав і думав, найбільш розумне пояснення — це те, що Curve сам тримає. Хто з цього виграє, хто найбільше зацікавлений у стабільності ситуації — це загальновідоме міркування, хоча немає твердих доказів, але якщо мати нормальне мислення, можна приблизно це зрозуміти.

До того, як сталося лихо, Curve голосно заявляв, що це хороший проект, а тепер, коли сталося лихо, вони відразу ж дистанціюються, кажучи: "це лише екосистемний проект, і я тут ні до чого". Це ставлення схоже на те, що ми зазвичай бачимо в деяких новинах: як тільки щось іде не так, то відразу ж кажуть, що "це зробив тимчасовий працівник". Тепер навіть ми, користувачі, отримали заблоковані акаунти, скажіть, до якого ступеня це вже дійшло?

Якби не підтримка Curve, Resupply взагалі не змогло б залучити стільки грошей. Ми беремо участь не через їхню команду розробників — насправді репутація цієї команди не дуже хороша. Якби вони просто реалізували проект самостійно, ми б, звичайно, не брали участі.

Дійсно, є дві причини, чому ми вирішили взяти участь: по-перше, його бізнес-модель побудована навколо стейблкоїнів Curve, логічно це означає допомогу Curve у зростанні, це зв'язок.