編輯 | 吳說區塊鏈
事件經過
7 月30 日21：34，PeckShield 監測到NFT 借貸協議JPEG’d 疑似被攻擊，在21:10，6,100 多枚WETH（價值約1,145 萬美元）被轉移至地址：0x94…A6Ab 中。 Curve Finance 指出，JPEG’d 遭到只讀重入攻擊。目前Curve 上pETH-ETH pool 中pETH 價格跌至 $383。 pETH 是一種由JPEG’d 發行的ETH 衍生資產。 JPEG’d 發推表示，pETH-ETH curve 池遭到攻擊，允許借貸NFT 的保險庫合約仍然安全且運行穩定，NFT 和國庫資產未受影響。
22:50 msETH-ETH 被攻擊。
23:34 alETH-ETH 被攻擊。
7 月31 日0：44以太坊編程語言Vyper 發推表示，Vyper 0.2.15、0.2.16 和 0.3.0 版本的重入鎖失效。
0：45 Curve 官方推特發文表示，由於重入鎖出現故障，許多使用Vyper 0.2.15 的穩定幣池 (alETH/msETH/pETH) 遭到攻擊，其他池是安全的。
0：57 派盾統計受此影響，DeFi 借貸協議Alchemix、NFT 借貸協議JPEG’d、DeFi 合成資產協議MetronomeDAO、跨鏈橋deBridge 和採用Curve 機制的BNB Chain上DEX 項目Ellipsis 累計損失超2676 萬美元。
2：46 Metronome 發文稱作為預防措施，已暫停Metronome 主網功能。
3:08 CRV-ETH 被攻擊，鏈上CRV最低跌到0.08左右，但由於AAVE 的價格取自Chainlink，後者並沒把異常價格體現，使得Curve 創始人Michael Egorov 在AAVE 的倉位未被清算。
據 @Super4DeFi，在此期間有套利者以 0.1ETH 購買了600 alETH 和用4 ETH 購買了1200 alETH，Alchemix 官方發布聲明稱alETH -ETH 池子損失5000 ETH，當前alETH = 0.7ETH。 OlympusDAO 脫離fraxBP，將國庫穩定幣轉換成1800 玩枚DAI，存入DSR 中，其餘700 萬枚USDC 準備也換為DAI。
7：26 派盾再次統計該安全事件損失已超5195 萬美元。
7：50 CRV/ETH Pool 搶跑的Mev Bot 部署者c0ffeebabe.eth向Curve Finance 部署者返還了2,879.54 ETH，價值約539 萬美元。
9：37 韓國最大交易所Upbit 發佈公告稱，由於Curve 部分穩定幣池被攻擊，導致CRV 波動性較大，現已暫停Curve（CRV）充值與提幣服務。
其他影響
據defillama 數據，Curve Finance TVL 24 小時減少43.6%，目前為18.4 億美元；Convex Finance TVL 24 小時減少48.5%，目前為149 億美元。
Aave 以太坊v2 版本已經禁用CRV 借款功能（可能是為了防止交易者利用Curve 漏洞事件恐慌，借幣CRV 惡意做空促使連環清算）。根據此前Aave 治理通過的提案AIP-125，面對一些突發事件，協議可以禁止特定資產的借款功能。目前在Aave v2 中有超過3 億枚CRV 供應（約95% 來自CRV 創始人Michwill 的供應），僅有約3500 萬枚CRV 已借出。
當前Aave 中諸如USDC、USDT 和DAI 等標的物存借貸APY 發生顯著上升，當前USDC 存借貸APY 仍超過20%，USDT 超過25%。由於攻擊Curve 黑客（0xb1…c148）從中獲利了價值460 萬美元的7,193,402 CRV，用戶對於Curve 創始人Michwill 巨額CRV 清算以及產生的連鎖反應仍表擔憂（鏈上CRV一度跌至 $0.08，但Chainlink 預言機未反饋在內，因而未觸發清算）。
目前Michwill 在Aave v2 有293,020,675 CRV 擔保物（1.87 億美元）和59,674,100 USDT 債務，清算線約 $0.37；Fraxlend 中有71,107,195 CRV 擔保物（4,4546 萬美元）和21,337,989 FRAX 債務（2130 萬美元），清算線約 $0.4；在Abracadabra 中有63,404,437 CRV 擔保物（3,190 萬美元）和18,787,110 MIM 債務，清算線約 $0.39；Inverse 中有25,128,033 CRV 擔保物（1,600 萬美元）和7,689,209 DOLA 債務，清算線約 $0.4。在近6 小時，Michwill 已陸續進行了部分債務的清償。
慢霧@IM_23pds 指出，Vyper 官方文檔推薦的實際上是一個有缺陷的版本；餘弦指出，智能合約語言層的bug 導致一些知名項目的重入鎖防禦失效，黑白帽黑客們及MEV Bots 瘋狂了，各種重入操縱及搶跑拿走資金。最怕的就是這種基礎層漏洞，所幸這次不是Solidity，而是不那麼流行的Vyper 出問題。或更進一步，這不是EVM 等等更基礎層的問題。
