Nansen鏈上取證：揭開UST脫錨真相_TER

原文作者：Nansen

原文編譯：ForesightNews

Nansen的研究小組深入研究了UST的脫錨問題，并利用鏈上追蹤的結果打破了網上流傳的Terra網絡崩潰是單一惡意攻擊者所為的謠言。

調查結果總結

我們通過鏈上調查發現，少數巨鯨在UST脫錨初期就發現了漏洞，特別是TerraUSD與其他穩定幣掛鉤的Curvepools相對較淺的流動性，并通過以下方式利用了這些漏洞。

1.從Terra的Anchor協議中提取UST資金

2.通過Wormhole跨鏈基礎設施將這些資金從Terra橋接到以太坊。

3.將大量的UST換成Curve的流動性池中的其他穩定幣，以及在脫錨過程中，通過在CEX和DEX市場之間非有效性的價差，在各種定價來源之間套利。

因此，我們找到了有一個「攻擊者」或「黑客」的破壞導致UST脫錨的流行說法站不住腳的有力證據。UST的脫錨可能是由幾個資金充足的實體的撤資避險所致。

間接

鑒于UST脫錨的突然性，許多市場參與者，無論是否直接受到影響，都急于了解導致UST失去掛鉤的一系列事件。為了揭示這些事件，Nansen編制了一份深入的報告，利用Terra和Ethereum的鏈上數據，重現了本月初導致算法穩定幣失去與美元掛鉤的鏈上歷史。

在可能的情況下，我們希望給出一個有鏈上證據支持的客觀描述。此外，我們利用Nansen的標簽方法為錢包添加了一些視覺區分，并標記了那些在鏈上的行為可能影響了脫錨機制的實體。

本研究不包括可能導致UST失去掛鉤的潛在鏈外事件。對投資者的影響，錢包之間凈損失的細分，以及支持UST的BTC儲備發生了什么問題都不在本報告的討論范圍之內。

鏈上痕跡追蹤

簡單來說，我們將鏈上分析定義為使用區塊鏈賬本的信息來確定與UST去掛鉤相關的一系列事件的方法。更具體地說，鏈上分析涉及查看交易數據和加密貨幣錢包活動--這兩個數據來源在試圖拼湊圍繞取消掛鉤的事件時很有用。

我們使用基礎理論方法開始研究，相關的交易量數據告知了研究的范圍。通過對社交媒體和論壇主題等灰色文獻的審查，我們縮小了研究范圍，重點關注2022年5月7日至5月11日之間的交易數據。對灰色文獻的專題分析結果強調了這一時期交易流活動對Curve流動性池的重要性，這反過來又為我們進行分析的順序提供了依據。

我們的分析分三個階段進行。

在第一階段，我們分析了進出Curve借貸協議的交易流。我們編制了一個錢包的名單，這些錢包的交易活動表明它們可能影響了UST的脫錨。

CZ：美元銀行轉賬用戶只占Binance月活用戶總量的0.01%，將盡快解決該問題:金色財經報道，針對 Binance 暫停美元銀行轉賬服務，Binance 首席執行官 CZ 在社交媒體上表示，目前美元銀行轉賬用戶只占 Binance 月活用戶總量的 0.01%，但即便如此，暫停該服務依然是一個糟糕的用戶體驗，Binance 正在努力盡快解決該問題。雖然一些銀行撤回了對加密貨幣的支持，但還有其他銀行將為加密貨幣提供服務。此外，CZ 透露 Binance 正在研究解決方案為土耳其地震中的人們提供幫助。[2023/2/7 11:51:52]

第二階段的分析包括三個部分：i）我們觀察了任何可能導致UST脫錨的Wormhole橋的跨鏈交易；ii）我們審查了UST從Anchor協議的流出，涉及被觀察的錢包名單；iii）我們調查了UST和USDC在中心化交易所的銷售情況。

第三階段的分析涉及到對這些綜合鏈上證據的三角分析，這使我們能夠將相關活動拼湊在一起，并制定一個解釋UST脫錨的敘述。我們還確定了七個最有可能在UST脫錨事件中發揮重要作用的錢包名單：

0x8d47f08ebc5554504742f547eb721a43d4947d0a(EIP1559User)

0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c(Celsius)

0x1df8ea15bb725e110118f031e8e71b91abaa2a06(hs0327.eth)

0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232(HeavyDexTrader)

0x41339d9825963515e5705df8d3b0ea98105ebb1c(SmartLP:0x413)

0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69(TokenMillionaire/HeavyDexTrader)

0x9f705ff1da72ed334f0e80f90aae5644f5cd7784(TokenMillionaire)

Curve上的爭奪

我們從以太坊上的Curve去中心化交易所協議開始進行鏈上分析，因為我們的灰色文獻審查表明它是UST脫錨事件的「起點」。Twitter社交媒體提出的假設是，Curve上的UST-3pool，一個允許UST被換成USDC/DAI/USDT的流動性池，被一個主要的「行為者」耗盡了流動性，他是導致脫錨的主要原因。

Coinbase資產銷售主管：該平臺比特幣存量被Binance超越為不實消息:7月20日消息，針對此前Glassnode數據顯示Coinbase平臺比特幣存量已低于60萬枚且被Binance超越，Coinbase資產銷售主管Nicolasde Bontin在社交媒體上表示相關信息不實。根據Glassnode數據推測，他們可能僅查看了熱錢包和已知的標記地址，但這實際是一個完全不相關的指標，因為大多數交易平臺資產都存放在冷錢包和未標記的地址中。

此前報道，7月18日，據Glassnode數據顯示，加密貨幣交易平臺Binance平臺比特幣存量自2017年成立以來首次超越Coinbase。目前Binance平臺比特幣存量略高于60萬枚，而Coinbase則已低于60萬枚。[2022/7/20 2:25:05]

圖5：從脫錨的第一個跡象到Twitter新聞流的累積凈流量，按時間戳匯總到Curve池中

大約在5月7日21:44至5月8日5:35期間，UST流入和流出之間的戰斗似乎加劇了。

5月7日21:44UTC，一個與LunaFoundationGuard有關的錢包從Curve撤回了大約150百萬的UST。隨后，一個地址流入了約8500萬UST。

四個地址中，其中一個與Celsius有關，緊隨其后，大約有1.05億的UST凈流入Curve。LFG和相關的「錨定保衛」錢包以1.896億美元的提現量進行護盤，來回折騰持續到5月8日上午。

0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81(D1),mainlabel:masknft.eth

0x4f5f3d3f8eb2896e0e865cde934fe5103f979771(D2),mainlabels:HeavyDexTrader,NFTCollector

0x1df8ea15bb725e110118f031e8e71b91abaa2a06(D3),mainlabel:hs0327.eth

0x66b870ddf78c975af5cd8edc6de25eca81791de1(K),mainlabel:Oapital(alsointeractedwithCurvedirectly)

其他錢包通過Curve進行了大量的交易，盡管稍晚一些。錢包0x99fd1378ca799ed6772fe7bcdc9b30b389518962，我們已經確定為與Hodlnaut有關的錢包，是這些「早期追隨者」的一個例子。

Mithril 將與 NFT 創作平臺 Corra.finance 進行社區合并:3月24日消息，去中心化社交應用秘銀 Mithril 將與 NFT 創作平臺 Corra.finance 進行社區合并，雙方不會涉及財務利益，社區合將在 Corra 提供的商業模式支持下進一步發展 Mithril 的用例，Corra 將圍繞 MITH 推出 NFT 和 DeFi 用例，增強 MITH 的價值。

此外，區塊鏈投資公司 Sora Ventures 以及 Corra.finance 創始人 Jason Fang 加入將 Mithril，領導 DeFi 和 NFT 領域的發展，Mithril 創始人 Jeff Huang 將以戰略顧問的身份加入 Corra.finance。[2021/3/24 19:14:19]

然后，我們將上面標記的錢包與Terra和Wormhole橋的數據進行交叉對比，以完善可能對UST脫錨有貢獻的錢包的范圍。

大額資金從Anchor流出的預警信號

圖8：5月7日至5月10日，按標記的錢包地址劃分，Anchor上的大額資金流出

在5月7日至10日期間，我們觀察到，從Anchor流出的UST最多的錢包通過8次交易共提取了超過3.47億UST。總的來說，前20個地址通過總共5051次交易從Anchor提取了總共20億的UST。

分析UST從Anchor流出的情況發現，許多我們之前標記的Curve交換錢包早在2022年4月就開始從Anchor提取UST代幣。然而，涉及這些錢包的從Anchor的提款量的飆升真正開始于今年4月中旬。

我們明顯發現，錢包terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea在Curve部分標記的）在4月1日至5月6日從Anchor提取的UST最多。

圖9：按Terra錢包和相關以太坊地址統計的Anchor流出量

對Anchor流出的進一步分析強調了兩個錢包地址的重要性，它們對UST的去Peg產生了重大影響。

?terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k(0x8d47f08ebc5554504742f547eb721a43d4947d0aonEthereum,ortheCurveUSTinflow「initiator」(A))

?terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc(0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781corCelsius(B))

火幣生態鏈去中心化保險項目ins3.finance上線Defi產品:據官方消息，近日，火幣生態鏈去中心化保險項目ins3.finance已經全面上線heco主流defi產品，包括 Filda\\LendHub\\Channels本金保證險和MDEX\\Circle Swap的智能合約托管險，助力heco用戶挖礦無憂，本金損失，ins3負責賠付。

ins3.finance是heco生態鏈第一個去中心化保險項目，也是以太坊和defi上首個使用預言機判斷償付機制的去中心化保險項目。[2021/2/3 18:48:18]

這兩個被確認的錢包在脫錨事件期間從Anchor協議發起了大量的資金外流，在15筆交易中共有約4.2億UST。當與從Terra到Ethereum的UST橋接進行交叉對比時，這兩個錢包是通過Wormhole橋接的頂級錢包。

更早的先兆信號：從Terra到Ethereum的UST橋梁

從Wormhole的UST代幣余額來看，4月份有輕微的增長，隨后從5月5日開始大幅上升，就在脫錨的前幾天。

圖13：5月5日至5月8日，按交易額計算，從Terra到Ethereum的前10個錢包(UST)。

深挖可疑的錢包

根據鏈上數據，我們發現這些錢包在Terra上時主要與Anchor協議互動。在從Terra橋接到Ethereum后，他們與Curve和1inch進行了互動。

下面，我們將介紹一些在UST脫錨前不久在Wormhole橋上記錄了大量交易的可疑錢包。

1.0x8d47f08ebc5554504742f547eb721a43d4947d0a(A)(SeeFigure7)

這個錢包是在不久前創建的，然后在5月7日部署。

所有的交易記錄大多與UST和USDC有關，并在5月9日停止。最值得注意的交易是在5月7日將價值超過8500萬的UST與以太坊連接起來。這些代幣隨后被發送到Curve，并被換成了大約8450萬的USDC。

我們可以將該錢包與Terra的「姐妹」地址聯系起來，這是在5月5日至5月8日將UST橋接到以太坊的頂級錢包之一。正如我們在Anchor分析中發現的那樣，該錢包在5月7日至5月10日期間負責從Anchor流出10筆資金，金額約為1.93億美元。

2.0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c(B)orCelsius(seeFigure7)

這個錢包從2022年4月下旬開始活躍。在4月21日至25日期間，它將約1.38億UST代幣橋接到Terra。值得注意的是，該錢包在5月7日將1.75億UST從Terra橋接到以太坊。從相應Terra地址接收資金的錢包是0xf642ea51c645c48196d9831a5937e95b0e9b4f7f。然后它在同一天將資金發送到另一個地址。在這個錢包的資金中，有1.25億被分批換成了Curve上的USDC，數量為2500萬。根據Nansen的數據，Celsius是一個密切的交易方，曾向這個錢包發送和接收資金。

8.2萬枚LINK轉入Binance，價值160.1萬美元:據Whale Alert數據顯示，北京時間08月16日04:08，8.2萬枚LINK從0x2e20開頭地址轉入Binance交易所，按當前價格計算，價值約160.1萬美元，交易哈希為：0xd655605302f2a92c299cc7b45f571c41eaede1591bc2f707be3eb2826594613a。[2020/8/16]

根據鏈上數據，我們還可以將該錢包與以下Terra地址terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc聯系起來，該錢包是5月5日至5月8日從Terra橋接USDT的頂級錢包。該錢包還與Anchor進行了互動，從4月底開始提取資金。

3.0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81(D1)ormasknft.eth(seeTheBattleoftheCurve)

這個錢包從2021年12月開始進行了超過62筆交易。從4月初到5月8日，這個錢包將價值超過7900萬的UST橋接到以太坊，然后通過1inchaggregator的幾筆交易主要換成了USDC。

這個錢包與terra1cn2fh0k8f5ywzjl2s947xrpdnnerfnkg9qg2r7有關，我們在分析AnchorProtocol時也強調了這個錢包。

4.0x1df8ea15bb725e110118f031e8e71b91abaa2a06(D3)orhs0327.eth(seeTheBattleoftheCurve)

同樣，這個錢包通過Wormhole收到了很多交易，有的早在1月份就收到了。5月8日，它在一次1-1.5M的UST交易中，將價值剛過2000萬的UST橋接到以太坊。這相當于在此期間總流出量的1.6%。

這個錢包與terra1vlel4dpqldcwm7ztre3k03apcldeawpq98rah0有關，該錢包在2月和3月還將交易橋接到另一個以太坊地址0x6524b211ef8e4baf346f1b780b08a3811ee9f3cd。值得注意的是，與其他錢包相比，該錢包提前退出了安科，其最新的交易是在5月1日。

5.0x41339d9825963515e5705df8d3b0ea98105ebb1c(H)orSmartLP0x413(Figure7)

根據Nansen的標簽，這個錢包是SmartLP。這個錢包橋接了大約880萬，然后又將價值3000萬的UST橋接到Terra。此外，它在4月27日和5月8日分別以1000萬和2000萬的交易將大約相同的金額嫁接到以太坊。2千萬的UST交易可以追溯到Curve，該錢包將2千萬的UST換成了USDC。

該錢包與terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea有關。在我們對AnchorProtocol的分析中也發現了它，在整個4月和5月都有交易。5月7日之后，它似乎已經完全退出了Anchor。

6.0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69(F)orTokenMillionaire/HeavyDexTrader(見圖7)

根據Nansen的標簽，這個錢包是一個TokenMillionaire。這是一個相當新的錢包，在2022年3月底才開始交易，與阿爾法金融實驗室相關的錢包有互動。該錢包僅在5月8日記錄了從Terra到以太坊的交易。這些交易總價值約為3000萬的UST，然后在3個獨立的交易中被換成了Curve的USDC。該錢包與terra17mh65gqelelxu9r5fyz9l56mx60zdg274fwe40有關。

7.0x9f705ff1da72ed334f0e80f90aae5644f5cd7784(J)orTokenMillionaire/HeavyDexTrader(見圖7)

該錢包在5月8日和5月9日進行了多次交易，共將約6000萬UST嫁接到以太坊。隨后，這些資金在Curve上被分別換成了USDT。該錢包與terra1hapgv57ytaaaatvz92k46fzwxs9m2zsdr46rph有關。

8.0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232(C)orHeavyDexTrader(見圖8)

這個錢包在5月8日收到了大約1050萬的UST，這些資金在Curve上被換成了USDT。根據鏈上數據，該錢包與terra1autyehjkpl9r4h99qa4v66h2tz8589haw9uyxm、terra1rhds9ltx9t5wxq22v9x9j26pk9tuwyykwhm9gy和terra14geatm83tykw5v3uw6klkcwwqf00tfwk72dq62有關。這些錢包在5月7日從Terra橋接了價值910萬、73.7萬和61.5萬枚UST，金額約為1050萬UST，與以太坊地址上的交易相符。

暴風雨過后：在中心化交易所的交易和套利行為

從5月1日到5月20日，所有被Nansen標記的中心化交易所的賬戶都收到了大約2.25億個代幣的凈流入，包括Wormhole-UST和wrapped-UST。我們在本節中用「UST」來指代匯總的Wormhole和wrapped的代幣。

值得注意的是，2022年5月9日，中心化交易所的UST凈流入勢頭強勁，5月10日的凈流入量最大。我們的結論是，如果向中央交易所的凈賣出可能對去杠桿化進程造成了最后的打擊，那么它似乎不太可能啟動這一進程。正如我們之前所描述的，UST與Curve流動性池中的其他穩定幣的互換在交易所賣出之前就已經開始了。

圖16：向中心化交易所發送USDC的頂級錢包早期Curve交換者。

鑒于大多數早期的曲線交換者已經從資金池中提取了USDC，我們回顧了5月1日至5月20日中心化交易所的最大USDC儲戶。在那里，又出現了熟悉的錢包。

我們注意到，錢包地址在5月7日21:57UTC啟動了第一個重要的UST流入，并獲得8450萬USDC作為回報，在5月8日午夜和凌晨1點UTC之間的幾筆交易中向Coinbase發送了USDC總金額。

雖然對CEX的凈流入提供了高水平的洞察力，但我們轉向了先前標記的錢包中的UST流動活動，以更精細的方式了解鏈上的動態。我們專注于三個錢包，因為它們與CEX的交易量大且多。

圖17：Masknft.eth的重要活動--和。

Masknft.eth有7690萬UST凈流出到CEXs。我們觀察到，該錢包從Curve購買了約9690萬UST，并迅速將其轉移到了Binance。

我們還在5月8日發現了幾筆交易，其中masknft.eth從Binance轉移UST，并在CurveMIM-UST池上將其交換為MIM。雖然我們無法確認這些轉移到Binance的交易是否是套利交易，但我們的猜測是，masknft.eth可能在脫錨期間在Binance購買了UST，并在第二天掛鉤設法短暫恢復時在Curve出售以獲取利潤。

雖然Oapital有5690萬UST凈流出到CEXs，但錢包的活動是高度多樣化的，并不像我們之前確定的許多其他錢包那樣僅限于定向流動。

FTX產生了巨大的拋售壓力，大部分的卸載活動都是在Binance進行的。遺憾的是，我們無法匹配從WormholeUST遷移者合約地址收到的UST的來源。

觀察Oapital的一些交易，我們注意到這個錢包可能在套利時獲得了巨大的收益，正如上面的一個交易中所看到的。假設Etherscan上轉賬當天的估計價值準確地反映了Oapital的UST成本，該錢包可能從這單交易中獲得了約13.25萬美元的利潤。

DAO對Binance的UST存款

除了上述可疑地址，我們還注意到WonderlandDAO在5月10日和11日之間向Binance發送了5740萬UST，在清算了他們的AbracadabraDegenbox之后。

可能對UST最終脫錨產生重大影響的七個「嫌疑地址」

圖20：可能對UST脫錨產生重大影響的錢包

結論

鑒于UST脫錨的金融和心理后果的嚴重性，許多關于「發生了什么」的敘述充斥著互聯網。我們的分析利用鏈上數據來解讀UST脫錨之前和期間發生的事情。通過對鏈上活動的檢查，我們發現少數錢包和這些錢包背后可能更少的實體導致了調節UST和其他穩定幣之間平價的Curve流動性協議的失衡。

早在5月7日晚，七個錢包就在Curve上交換了大量的UST和其他穩定幣。這七個錢包在5月7日和之前從Anchor協議中提取了大量的UST，并通過Wormhole將UST橋接到以太坊區塊鏈上。在這七個錢包中，有六個與中心化交易所互動，發送更多的UST，或者對于其中的一個子集，發送從Curve的流動性池中換來的USDC。

這項鏈上研究駁斥了關于一個「攻擊者」或「黑客」破壞了UST的說法。相反，我們發現少數玩家發現并套用了漏洞——特別是與Curve資金池的淺層流動性有關的漏洞，這導致了以下事件的發生：

1.從Terra的Anchor協議中提取UST資金。

2.通過Wormhole基礎設施將這些資金從Terra橋接到Ethereum

3.將大量的UST換成Curve流動性池中的其他穩定幣

4.在「脫錨」過程中，其中一些錢包可能利用了各種定價來源之間的低效和價差，在CEX和DEX之間的交易所進行套利買賣。

尾聲：鏈上數據，從取證到風險管理

鑒于這項研究的重點是鏈上數據，我們將避免對引發這一系列事件的七個錢包的目標進行評論。我們只想補充一點意見，以補充我們的鏈上調查：在加密貨幣市場運作時，擁有強大的風險管理框架，特別是在宏觀金融市場動蕩的階段，是在進行預期收益分析時不可或缺的一部分。

Tags：USTANCTERTerratrustwallet中國能用嗎Zeropay FinanceGutter Cat GangTerra Classic

以太坊交易所