Nansen链上取证：揭开UST脱锚真相

原文作者：Nansen

原文编译：Foresight News

Nansen 的研究小组深入研究了 UST 的脱锚问题，并利用链上追踪的结果打破了网上流传的 Terra 网络崩溃是单一恶意攻击者所为的谣言。

调查结果总结

我们通过链上调查发现，少数巨鲸在 UST 脱锚初期就发现了漏洞，特别是 TerraUSD（UST）与其他稳定币挂钩的 Curve pools 相对较浅的流动性，并通过以下方式利用了这些漏洞。

1. 从 Terra 的 Anchor 协议中提取 UST 资金

2. 通过 Wormhole 跨链基础设施将这些资金从 Terra 桥接到以太坊。

3. 将大量的 UST 换成 Curve 的流动性池中的其他稳定币，以及在脱锚过程中，通过在 CEX 和 DEX 市场之间非有效性的价差，在各种定价来源（Curve、去中心化交易所和中心化交易所）之间套利。

因此，我们找到了有一个 「攻击者」或 「黑客」的破坏导致 UST 脱锚的流行说法站不住脚的有力证据。UST 的脱锚可能是由几个资金充足的实体的撤资避险所致。

间接

鉴于 UST 脱锚的突然性，许多市场参与者，无论是否直接受到影响，都急于了解导致 UST 失去挂钩的一系列事件。为了揭示这些事件，Nansen 编制了一份深入的报告，利用 Terra 和 Ethereum 的链上数据，重现了本月初导致算法稳定币失去与美元挂钩的链上历史。

在可能的情况下，我们希望给出一个有链上证据支持的客观描述。此外，我们利用 Nansen 的标签方法为钱包添加了一些视觉区分，并标记了那些在链上的行为可能影响了脱锚机制的实体。

本研究不包括可能导致 UST 失去挂钩的潜在链外事件。对投资者的影响，钱包之间净损失的细分，以及支持 UST 的 BTC 储备发生了什么问题都不在本报告的讨论范围之内。

链上痕迹追踪

简单来说，我们将链上分析定义为使用区块链账本的信息来确定与 UST 去挂钩相关的一系列事件的方法。更具体地说，链上分析涉及查看交易数据和加密货币钱包活动 -- 这两个数据来源在试图拼凑围绕取消挂钩的事件时很有用。

我们使用基础理论方法开始研究，相关的交易量数据告知了研究的范围。通过对社交媒体和论坛主题等灰色文献的审查，我们缩小了研究范围，重点关注 2022 年 5 月 7 日至 5 月 11 日之间的交易数据。对灰色文献的专题分析结果强调了这一时期交易流活动对 Curve 流动性池的重要性，这反过来又为我们进行分析的顺序提供了依据。

我们的分析分三个阶段进行。

在第一阶段，我们分析了进出 Curve 借贷协议的交易流。我们编制了一个钱包的名单，这些钱包的交易活动表明它们可能影响了 UST 的脱锚。

第二阶段的分析包括三个部分：i）我们观察了任何可能导致 UST 脱锚的 Wormhole 桥的跨链交易；ii）我们审查了 UST 从 Anchor 协议的流出，涉及被观察的钱包名单；iii）我们调查了 UST 和 USDC 在中心化交易所的销售情况。

第三阶段的分析涉及到对这些综合链上证据的三角分析，这使我们能够将相关活动拼凑在一起，并制定一个解释 UST 脱锚的叙述。我们还确定了七个最有可能在 UST 脱锚事件中发挥重要作用的钱包名单：

• 0 x8d47f08ebc5554504742f547eb721a43d4947d0a (EIP 1559 User)

• 0 x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (Celsius)

• 0 x1df8ea15bb725e110118f031e8e71b91abaa2a06 (hs0327.eth)

• 0 xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (Heavy Dex Trader)

• 0 x41339d9825963515e5705df8d3b0ea98105ebb1c (Smart LP: 0 x413)

• 0 x68963dc7c28a36fcacb0b39ac2d807b0329b9c69 (Token Millionaire / Heavy Dex Trader)

• 0 x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (Token Millionaire)

Curve 上的争夺

我们从以太坊上的 Curve 去中心化交易所协议开始进行链上分析，因为我们的灰色文献审查表明它是 UST 脱锚事件的 「起点」。Twitter 社交媒体提出的假设是，Curve 上的 UST-3pool，一个允许 UST 被换成 USDC/DAI/USDT 的流动性池，被一个主要的 「行为者 」耗尽了流动性，他是导致脱锚的主要原因。

图 5：从脱锚的第一个迹象到 Twitter 新闻流的累积净流量，按时间戳汇总到 Curve 池中

大约在 5 月 7 日 21:44 至 5 月 8 日 5:35（UTC）期间（Do Kwon 发推后几小时，见图 4），UST 流入和流出之间的战斗似乎加剧了。

5 月 7 日 21:44 UTC，一个与 Luna Foundation Guard（LFG）有关的钱包从 Curve 撤回了大约 150 百万的 UST（见图 6）。随后，一个地址（0 x8d...7d0a，在流入交易之前创建，然后只用于 Curve 的 UST 与 USDC 的交换，以及接收和随后转移 USDC 到 Coinbase）流入了约 8500 万 UST。

四个地址中，其中一个与 Celsius 有关，紧随其后，大约有 1.05 亿的 UST 净流入 Curve。LFG 和相关的 「锚定保卫」钱包以 1.896 亿美元的提现量进行护盘，来回折腾持续到 5 月 8 日上午。

其他钱包通过 Curve 进行了大量的交易，尽管稍晚一些。钱包 0 x99fd1378ca799ed6772fe7bcdc9b30b389518962（N），我们已经确定为与 Hodlnaut 有关的钱包，是这些 「早期追随者」的一个例子。

然后，我们将上面标记的钱包与 Terra 和 Wormhole 桥的数据进行交叉对比，以完善可能对 UST 脱锚有贡献的钱包的范围。

大额资金从 Anchor 流出的预警信号

图 8：5 月 7 日至 5 月 10 日，按标记的钱包地址划分，Anchor 上的大额资金流出

在 5 月 7 日至 10 日期间，我们观察到，从 Anchor 流出的 UST 最多的钱包通过 8 次交易共提取了超过 3.47 亿 UST。总的来说，前 20 个地址通过总共 5051 次交易从 Anchor 提取了总共 20 亿的 UST。

分析 UST 从 Anchor 流出的情况发现，许多我们之前标记的 Curve 交换钱包早在 2022 年 4 月就开始从 Anchor 提取 UST 代币。然而，涉及这些钱包的从 Anchor 的提款量的飙升真正开始于今年 4 月中旬。

我们明显发现，钱包 terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea（钱包地址 04041339d9825963515e5705df8d3b0ea98105ebb1c 在以太坊上或（H）在 Curve 部分标记的）在 4 月 1 日至 5 月 6 日（即在脱锚事件之前）从 Anchor 提取的 UST 最多。

图 9：按 Terra 钱包和相关以太坊地址统计的 Anchor 流出量

对 Anchor 流出的进一步分析强调了两个钱包地址的重要性，它们对 UST 的去 Peg 产生了重大影响。

terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k (0 x8d47f08ebc5554504742f547eb721a43d4947d0a on Ethereum, or the Curve UST inflow 「initiator」 (A))

terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc (0 x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c or Celsius (B))

这两个被确认的钱包在脱锚事件期间（5 月 7 日至 5 月 10 日）从 Anchor 协议发起了大量的资金外流，在 15 笔交易中共有约 4.2 亿 UST。当与从 Terra 到 Ethereum 的 UST 桥接进行交叉对比时，这两个钱包是通过 Wormhole 桥接的顶级钱包。

更早的先兆信号：从 Terra 到 Ethereum 的 UST 桥梁

从 Wormhole 的 UST 代币余额来看，4 月份有轻微的增长，随后从 5 月 5 日开始大幅上升，就在脱锚的前几天。

图 13：5 月 5 日至 5 月 8 日，按交易额计算，从 Terra 到 Ethereum 的前 10 个钱包 (UST)。

深挖可疑的钱包（5 月 5 日至 5 月 8 日）

根据链上数据，我们发现这些钱包在 Terra 上时主要与 Anchor 协议互动。在从 Terra 桥接到 Ethereum 后，他们与 Curve 和 1inch 进行了互动。

下面，我们将介绍一些在 UST 脱锚前不久在 Wormhole 桥上记录了大量交易的可疑钱包。

1. 0 x8d47f08ebc5554504742f547eb721a43d4947d0a (A) (See Figure 7)

这个钱包是在不久前创建的，然后在 5 月 7 日部署。

所有的交易记录大多与 UST 和 USDC 有关，并在 5 月 9 日停止。最值得注意的交易是在 5 月 7 日将价值超过 8500 万的 UST 与以太坊连接起来。这些代币随后被发送到 Curve，并被换成了大约 8450 万的 USDC。

我们可以将该钱包与 Terra 的 「姐妹」地址（terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k）联系起来，这是在 5 月 5 日至 5 月 8 日将 UST 桥接到以太坊的顶级钱包之一。正如我们在 Anchor 分析中发现的那样，该钱包在 5 月 7 日至 5 月 10 日期间负责从 Anchor 流出 10 笔资金，金额约为 1.93 亿美元。

2. 0 x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (B) or Celsius (see Figure 7)

这个钱包从 2022 年 4 月下旬开始活跃。在 4 月 21 日至 25 日期间，它将约 1.38 亿 UST 代币桥接到 Terra。值得注意的是，该钱包在 5 月 7 日将 1.75 亿 UST 从 Terra 桥接到以太坊。从相应 Terra 地址接收资金的钱包是 0 xf642ea51c645c48196d9831a5937e95b0e9b4f7f。然后它在同一天将资金发送到另一个地址（交易）。在这个钱包的资金中，有 1.25 亿被分批换成了 Curve 上的 USDC，数量为 2500 万。根据 Nansen 的数据，Celsius 是一个密切的交易方，曾向这个钱包发送和接收资金。

根据链上数据，我们还可以将该钱包与以下 Terra 地址 terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc 联系起来，该钱包是 5 月 5 日至 5 月 8 日从 Terra 桥接 USDT 的顶级钱包。该钱包还与 Anchor 进行了互动，从 4 月底开始提取资金。

3. 0 x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81 (D1) or masknft.eth (see The Battle of the Curve)

这个钱包从 2021 年 12 月开始进行了超过 62 笔交易。从 4 月初到 5 月 8 日，这个钱包将价值超过 7900 万的 UST 桥接到以太坊，然后通过 1inch aggregator 的几笔交易主要换成了 USDC。

这个钱包与 terra1cn2fh0k8f5ywzjl2s947xrpdnnerfnkg9qg2r7 有关，我们在分析 Anchor Protocol 时也强调了这个钱包。

4. 0 x1df8ea15bb725e110118f031e8e71b91abaa2a06 (D3) or hs0327.eth (see The Battle of the Curve)

同样，这个钱包通过 Wormhole 收到了很多交易，有的早在 1 月份就收到了。5 月 8 日，它在一次 1-1.5M 的 UST 交易中，将价值刚过 2000 万的 UST 桥接到以太坊。这相当于在此期间总流出量的 1.6％。

这个钱包与 terra1vlel4dpqldcwm7ztre3k03apcldeawpq98rah0 有关，该钱包在 2 月和 3 月还将交易桥接到另一个以太坊地址 0 x6524b211ef8e4baf346f1b780b08a3811ee9f3cd。值得注意的是，与其他钱包相比，该钱包提前退出了安科，其最新的交易是在 5 月 1 日。

5. 0 x41339d9825963515e5705df8d3b0ea98105ebb1c (H) or Smart LP 0 x413 (Figure 7)

根据 Nansen 的标签，这个钱包是 Smart LP。这个钱包桥接了大约 880 万（1 月下旬），然后又将价值 3000 万的 UST 桥接到 Terra（2 月）。此外，它在 4 月 27 日和 5 月 8 日分别以 1000 万和 2000 万的交易将大约相同的金额嫁接到以太坊。2 千万的 UST 交易可以追溯到 Curve，该钱包将 2 千万的 UST 换成了 USDC。

该钱包与 terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea 有关。在我们对 Anchor Protocol 的分析中也发现了它，在整个 4 月和 5 月都有交易。5 月 7 日之后，它似乎已经完全退出了 Anchor。

6. 0 x68963dc7c28a36fcacb0b39ac2d807b0329b9c69 (F) or Token Millionaire / Heavy Dex Trader (见图 7)

根据 Nansen 的标签，这个钱包是一个 Token Millionaire。这是一个相当新的钱包，在 2022 年 3 月底才开始交易，与阿尔法金融实验室相关的钱包有互动。该钱包仅在 5 月 8 日记录了从 Terra 到以太坊的交易。这些交易总价值约为 3000 万的 UST，然后在 3 个独立的交易中被换成了 Curve 的 USDC。该钱包与 terra17mh65gqelelxu9r5fyz9l56mx60zdg274fwe40 有关。

7. 0 x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (J) or Token Millionaire / Heavy Dex Trader (见图 7)

该钱包在 5 月 8 日和 5 月 9 日进行了多次交易，共将约 6000 万 UST 嫁接到以太坊。随后，这些资金在 Curve 上被分别换成了 USDT。该钱包与 terra1hapgv57ytaaaatvz92k46fzwxs9m2zsdr46rph 有关。

8. 0 xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (C) or Heavy Dex Trader (见图 8)

这个钱包在 5 月 8 日收到了大约 1050 万的 UST，这些资金在 Curve 上被换成了 USDT。根据链上数据，该钱包与 terra1autyehjkpl9r4h99qa4v66h2tz8589haw9uyxm、terra1rhds9ltx9t5wxq22v9x9j26pk9tuwyykwhm9gy 和 terra14geatm83tykw5v3uw6klkcwwqf00tfwk72dq62 有关。这些钱包在 5 月 7 日从 Terra 桥接了价值 910 万、73.7 万和 61.5 万枚 UST，金额约为 1050 万 UST，与以太坊地址上的交易相符。

暴风雨过后：在中心化交易所的交易和套利行为

从 5 月 1 日到 5 月 20 日，所有被 Nansen 标记的中心化交易所的账户都收到了大约 2.25 亿个代币的净流入，包括 Wormhole-UST 和 wrapped-UST。我们在本节中用 「UST」来指代汇总的 Wormhole 和 wrapped 的代币。

值得注意的是，2022 年 5 月 9 日，中心化交易所的 UST 净流入势头强劲，5 月 10 日的净流入量最大（当天有 1.65 亿个代币被送到中央交易所）。我们的结论是，如果向中央交易所的净卖出可能对去杠杆化进程造成了最后的打击，那么它似乎不太可能启动这一进程。正如我们之前所描述的，UST 与 Curve 流动性池中的其他稳定币的互换在交易所卖出之前就已经开始了。

图 16：向中心化交易所发送 USDC 的顶级钱包 早期 Curve 交换者（5 月 1 日至 5 月 10 日）。

鉴于大多数早期的曲线交换者已经从资金池中提取了 USDC，我们回顾了 5 月 1 日至 5 月 20 日中心化交易所的最大 USDC 储户。在那里，又出现了熟悉的钱包。

我们注意到，钱包（A）地址在 5 月 7 日 21:57 UTC（8500 万 UST）启动了第一个重要的 UST 流入，并获得 8450 万 USDC 作为回报，在 5 月 8 日午夜和凌晨 1 点 UTC 之间的几笔交易中向 Coinbase 发送了 USDC 总金额。

虽然对 CEX 的净流入提供了高水平的洞察力，但我们转向了先前标记的钱包中的 UST 流动活动，以更精细的方式了解链上的动态。我们专注于三个钱包，因为它们与 CEX 的交易量大且多（图 17、18 和 19）。

图 17：Masknft.eth 的重要活动 --（Binance 到 Curve MIM-UST）和（Curve 3pool-Binance）。

Masknft.eth 有 7690 万 UST 净流出到 CEXs。我们观察到，该钱包从 Curve 购买了约 9690 万 UST（从 1inch），并迅速将其转移到了 Binance。

我们还在 5 月 8 日发现了几笔交易（总计约 1190 万 UST），其中 masknft.eth 从 Binance 转移 UST，并在 Curve MIM-UST 池上将其交换为 MIM。虽然我们无法确认这些转移到 Binance 的交易是否是套利交易，但我们的猜测是，masknft.eth 可能在脱锚期间在 Binance 购买了 UST（UST 在当天创下了约 0.985 的低点），并在第二天挂钩设法短暂恢复时在 Curve 出售以获取利润。

虽然 Oapital 有 5690 万 UST 净流出到 CEXs，但钱包的活动是高度多样化的，并不像我们之前确定的许多其他钱包那样仅限于定向流动。

FTX 产生了巨大的抛售压力，大部分的卸载活动都是在 Binance 进行的。遗憾的是，我们无法匹配从 WormholeUST 迁移者合约地址收到的 UST 的来源。

观察 Oapital 的一些交易，我们注意到这个钱包可能在套利时获得了巨大的收益，正如上面的一个交易中所看到的。假设 Etherscan 上转账当天的估计价值准确地反映了 Oapital 的 UST 成本，该钱包可能从这单交易中获得了约 13.25 万美元的利润。

DAO 对 Binance 的 UST 存款

除了上述可疑地址，我们还注意到 Wonderland DAO 在 5 月 10 日和 11 日之间向 Binance 发送了 5740 万 UST，在清算了他们的 Abracadabra Degenbox 之后。

可能对 UST 最终脱锚产生重大影响的七个「嫌疑地址」

图 20：可能对 UST 脱锚产生重大影响的钱包

结论

鉴于 UST 脱锚的金融和心理后果的严重性，许多关于 「发生了什么」的叙述充斥着互联网。我们的分析利用链上数据来解读 UST 脱锚之前和期间发生的事情。通过对链上活动的检查，我们发现少数钱包和这些钱包背后可能更少的实体导致了调节 UST 和其他稳定币之间平价的 Curve 流动性协议的失衡。

早在 5 月 7 日晚（UTC），七个钱包就在 Curve 上交换了大量的 UST 和其他稳定币。这七个钱包在 5 月 7 日和之前（早在 4 月）从 Anchor 协议中提取了大量的 UST，并通过 Wormhole 将 UST 桥接到以太坊区块链上。在这七个钱包中，有六个与中心化交易所互动，发送更多的 UST（据说是为了卖出），或者对于其中的一个子集，发送从 Curve 的流动性池中换来的 USDC。

这项链上研究驳斥了关于一个 「攻击者」或 「黑客」破坏了 UST 的说法。相反，我们发现少数玩家发现并套用了漏洞 —— 特别是与 Curve 资金池的浅层流动性有关的漏洞，这导致了以下事件的发生：

1. 从 Terra 的 Anchor 协议中提取 UST 资金。

2. 通过 Wormhole 基础设施将这些资金从 Terra 桥接到 Ethereum

3. 将大量的 UST 换成 Curve 流动性池中的其他稳定币

4. 在 「脱锚」过程中，其中一些钱包可能利用了各种定价来源（Curve、去中心化交易所 DEX、中心化交易所 CEX）之间的低效和价差，在 CEX 和 DEX 之间的交易所进行套利买卖。

尾声：链上数据，从取证到风险管理

鉴于这项研究的重点是链上数据，我们将避免对引发这一系列事件的七个钱包的目标进行评论。我们只想补充一点意见，以补充我们的链上调查：在加密货币市场运作时，拥有强大的风险管理框架，特别是在宏观金融市场动荡的阶段，是在进行预期收益分析时不可或缺的一部分。

原文链接