Nansen的研究小组深入研究了UST的脱钩问题，利用链上的证据来破除，Terra链上单一恶意攻击者的谣言。

调查结果总结

我们的链上调查显示，少数玩家在UST脱钩初期就发现了漏洞，特别是确TerraUSD（UST）与其他稳定币挂钩的Curve pools相对较浅的流动性，并通过以下方式来利用这些漏洞。

1.从Terra的Anchor协议中提取UST资金

2.通过虫洞跨链基础设施将这些资金从Terra跨链回以太坊主网。

3.将大量的UST换成Curve的流动性池中的其他稳定币，以及在脱钩过程中，通过在CEX和DEX市场之间价差非有效性，在各种定价来源（Curve、去中心化交易所和中心化交易所）之间套利。

因此，我们反驳了，有一个 "攻击者 "或 "黑客 "故意致力于破坏UST稳定的流行说法。UST的脱钩可能是由几个资金充足的实体机构们撤离资金，避险导致。例如，遵守风险管理约束，或者在动荡的宏观经济和市场条件下，减少存入Anchor的UST分配。

介绍

鉴于UST脱钩的突然性，许多市场参与者--无论是否直接受到影响--都急于了解导致UST失去挂钩的一系列事件。为了揭示这些事件，Nansen编制了一份深入的报告，利用Terra和Ethereum的链上数据，重现了本月初导致算法稳定币失去与美元挂钩的链上历史。

在可能的情况下，我们希望给出一个有链上证据支持的客观描述。此外，我们利用Nansen的标签方法为钱包添加了一些色彩，并标记了那些在链上的行为可能影响了脱钩机制的实体。

本研究不包括可能导致UST失去挂钩的潜在链外事件。对投资者的影响，钱包之间净损失的细分，以及支持UST的BTC储备发生了什么问题，都是本报告范围之外，进一步待研究的重要领域。

追踪足迹

简单来说，我们将链上分析定义为使用区块链账本的信息来确定与UST去挂钩相关的一系列事件的方法。更具体地说，链上分析涉及查看交易数据和加密货币钱包活动--这两个数据来源在试图拼凑围绕取消挂钩的事件时很有用。

我们使用基础理论方法开始研究，相关的交易量数据告知了研究的范围。通过对社交媒体和论坛主题等灰色文献的审查，我们缩小了研究范围，重点关注2022年5月7日至5月11日之间的交易数据。对灰色文献的专题分析结果强调了这一时期交易流活动对Curve流动性池的重要性，这反过来又为我们进行分析的顺序提供了依据。

我们的分析分三个阶段进行。在第一阶段，我们分析了进出Curve借贷协议的交易流。我们编制了一个钱包的名单，这些钱包的交易活动表明它们可能影响了UST的去挂钩化。第二阶段的分析包括三个部分：i）我们观察了任何可能导致UST脱钩的穿越虫洞桥的交易；ii）我们审查了UST从Anchor协议的流出，涉及被观察的钱包名单；iii）我们调查了UST和USDC在集中式交易所的销售情况。第三阶段的分析涉及到对这些综合链上证据的三角分析，这使我们能够将相关活动拼凑在一起，并制定一个解释UST脱钩的叙述。我们还确定了七个最有可能在UST脱钩事件中发挥重要作用的钱包名单：

• 0x8d47f08ebc5554504742f547eb721a43d4947d0a (EIP 1559 User)
• 0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (Celsius)
• 0x1df8ea15bb725e110118f031e8e71b91abaa2a06 (hs0327.eth)
• 0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (Heavy Dex Trader)
• 0x41339d9825963515e5705df8d3b0ea98105ebb1c (Smart LP: 0x413)
• 0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69 (Token Millionaire / Heavy Dex Trader)
• 0x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (Token Millionaire)

Curve上的争夺

我们从以太坊上的Curve去中心化交易所协议开始进行链上分析，因为我们的灰色文献审查表明它是UST脱钩事件的 "起点"。Twitter社交媒体提出的假设是，Curve上的UST-3pool，一个允许UST被换成USDC/DAI/USDT的流动性池，被一个主要的 "行为者 "耗尽了流动性，他是导致脱钩的主要原因。

图表 1: UST 在Curve池上余额净值 , YTD 2022

当检查UST流入和流出集合Curve池时，有两个时间段的情况非常突出（图1）。2022年3月和最近的5月7日至5月11日的时间段。我们特别关注UST的流入，因为UST脱钩据说是由于UST与其他稳定币的过度交换造成的，至少最初是这样。

我们发现在2022年3月，有多笔超过6000万的UST代币流入Curve。尽管有这种流量波动，UST的币价在2022年3月并没有明显偏离平价（图2）。

图2：2022年1月至4月UST价格图

在5月7日和5月8日之间，我们观察到UST偏离了与美元的锚定（见图3），我们估计在那之后不久，取消挂钩的消息开始在社交媒体上传播（见图4）。

我们根据时间戳和钱包专门扫描了早期和异常大的UST流入Curve的情况，以及同一钱包的重复流入，或者如果我们能发现一个 "网络 "的钱包累积到同一个 "实体"。

图3：2022年5月7日至5月8日UST价格图

图4：Do Kwon的Twitter个人资料截图，2022年5月8日，欧洲中部时间凌晨1点左右

我们绘制了流向Curve资金池汇总的时间序列图（我们自愿不把分析局限于3号资金池，而是包括4号资金池和其他被Nansen标记为与Curve有关的实体，如Zap存管，见图5）。

图5：从脱钩的第一个迹象到Twitter新闻流的累积净流量，按时间戳汇总到Curve池中

大约在5月7日21:44至5月8日5:35（UTC）期间（Do Kwon发推后几小时，见图4），UST流入和流出之间的战斗似乎加剧了。

5月7日21:44 UTC，一个与Luna Foundation Guard（LFG）有关的钱包从Curve撤回了大约150百万的UST（见图6）。随后，一个地址（0x8d...7d0a，在流入交易之前创建，然后只用于Curve的UST与USDC的交换，以及接收和随后转移USDC到Coinbase）流入了约8500万UST。

四个地址，其中一个与Celsius有关，紧随其后，大约有1.05亿的UST净流入Curve。LFG和相关的 "挂钩防守 "钱包以1.896亿美元的提现量进行护盘，来回折腾持续到5月8日上午。

图6：流向Curve的UST净流量时间表，以及当时UST交易量最大钱包地址

我们观察到，少数钱包对Curve发起了攻势（图6）。这一点在5月7日和5月8日期间按钱包地址汇总的净流量中得到了证实。在5月7日和5月8日期间，按净流量排名前18位的钱包占了该期间流入Curve的UST总额的77%（图7）。在图7的右边最后一栏，我们根据两个标准标记了钱包：在5月8日上午之前至少有一些活动+在5月7日至5月8日期间有大量的聚合存款。

以下四个地址是通过1inchDEX聚合器流入Curve的最大流入量：

• 0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81 (D1), main label: masknft.eth
• 0x4f5f3d3f8eb2896e0e865cde934fe5103f979771 (D2), main labels: Heavy Dex Trader, NFT Collector
• 0x1df8ea15bb725e110118f031e8e71b91abaa2a06  (D3), main label: hs0327.eth
• 0x66b870ddf78c975af5cd8edc6de25eca81791de1 (K), main label: Oapital (also interacted with Curve directly)

其他钱包通过Curve进行了大量的交易，尽管稍晚一些。钱包0x99fd1378ca799ed6772fe7bcdc9b30b389518962（N），我们已经确定为与Hodlnaut有关的钱包，是这些 "早期追随者 "的一个例子。

然后，我们将上面标记的钱包与Terra和Wormhole桥的数据进行交叉对比，以完善可能对UST脱钩有贡献的钱包的范围。

早期从Anchor流出是一种预示?

图8：5月7日至5月10日，按标记的钱包地址划分，最大的流出量来自Anchor

在5月7日至10日期间，我们观察到，从Anchor流出的UST最多的钱包通过8次交易共提取了超过3.47亿UST。总的来说，前20个地址通过总共5051次交易从Anchor提取了总共20亿的UST。

分析UST从Anchor流出的情况发现，许多我们之前标记的Curve交换钱包早在2022年4月就开始从Anchor提取UST代币。然而，涉及这些钱包的从Anchor的提款量的飙升真正开始于今年4月中旬。

我们明显发现，钱包terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea（钱包地址04041339d9825963515e5705df8d3b0ea98105ebb1c在以太坊上或（H）在Curve部分标记的）在4月1日至5月6日（即在去Peg事件之前）从Anchor提取的UST最多。

图9：按Terra钱包和相关以太坊地址统计的Anchor流出量

对Anchor流出的进一步分析强调了两个钱包地址的重要性，它们对UST的去Peg产生了重大影响。

• terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k (0x8d47f08ebc5554504742f547eb721a43d4947d0a on Ethereum, or the Curve UST inflow “initiator” (A))
• terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc (0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c or Celsius (B))

这两个被确认的钱包在脱钩事件期间（5月7日至5月10日）从Anchor协议发起了大量的资金外流，在15笔交易中共有~4.2亿UST。当与从Terra到Ethereum的UST桥接进行交叉对比时，这两个钱包是通过Wormhole桥接的顶级钱包。

更远的足迹:从Terra到Ethereum的UST桥梁

从虫洞的UST代币余额来看，4月份有轻微的增长，随后从5月5日开始大幅上升，就在脱钩的前几天。

图11：UST的价格和数量随时间变化

通过比较上图显示的UST的价格和交易量，我们发现5月8日的交易量明显增加，与该代币最初的价值损失同步。同样，从Terra到Ethereum的历史转账也在相同的日期前后显示出明显的活动。下面看到的大峰值（图12）表明，大量的UST在脱钩期间通过跨链桥离场。

图12：每天向以太坊转账（UST代币单位）

在分析5月5日至5月8日的交易时，我们发现在此期间有984个独特的Terra钱包地址活跃。大部分的交易量集中在几个钱包里。例如，前10个钱包地址的交易量占该时间段内转移的UST总量的57%以上。

此外，我们观察到，前10名钱包之间的净流量分布也明显不平衡。排名第一和第十的钱包之间的转移总额相差超过1.44亿UST。图13描述了观察期内最活跃的前10个钱包地址。

图13：5月5日至5月8日，按交易额计算，从Terra到Ethereum的前10个钱包(UST)。

放大可疑的钱包（5月5日至5月8日）

根据链上数据，我们发现这些钱包在Terra上时主要与Anchor协议互动。在从Terra桥接到Ethereum后，他们与Curve和1inch进行了互动。

下面，我们将介绍一些在UST脱钩前不久在虫洞桥上记录了大量交易的可疑钱包。

1.0x8d47f08ebc5554504742f547eb721a43d4947d0a (A) (See Figure 7)

这个钱包是在不久前创建的，然后在5月7日部署。

所有的交易记录大多与UST和USDC有关，并在5月9日停止。最值得注意的交易是在5月7日将价值超过8500万的UST与以太坊连接起来。这些代币随后被发送到Curve，并被换成了大约8450万的USDC。

我们可以将该钱包与Terra的 "姐妹 "地址（terra1yl8l5dzz4jhnzzh6jxq6pdezd2z4qgmgrdt82k）联系起来，这是在5月5日至5月8日将UST桥接到以太坊的顶级钱包之一。正如我们在Anchor分析中发现的那样，该钱包在5月7日至5月10日期间负责从Anchor流出10笔资金，金额约为1.93亿美元。

2.0x4b5e60cb1cd6c5e67af5e6cf63229d1614bb781c (B) or Celsius (see Figure 7)

这个钱包从2022年4月下旬开始活跃。在4月21日至25日期间，它将约1.38亿UST代币桥接到Terra。值得注意的是，该钱包在5月7日将1.75亿UST从Terra桥接到以太坊。从相应Terra地址接收资金的钱包是0xf642ea51c645c48196d9831a5937e95b0e9b4f7f。然后它在同一天将资金发送到另一个地址（交易）。在这个钱包的资金中，有1.25亿被分批换成了Curve上的USDC，数量为2500万。根据Nansen的数据，Celsius是一个密切的交易方，曾向这个钱包发送和接收资金。

根据链上数据，我们还可以将该钱包与以下Terra地址terra195wtjmpjxhp336mclqfsyk2plvs8mw3lhsc5nc联系起来，该钱包是5月5日至5月8日从Terra桥接USDT的顶级钱包。该钱包还与Anchor进行了互动，从4月底开始提取资金。

3.0x6b3d1a37b5c01901341f01f4975d31bc5e6c3d81 (D1) or masknft.eth (see The Battle of the Curve)

这个钱包从2021年12月开始进行了超过62笔交易。从4月初到5月8日，这个钱包将价值超过7900万的UST桥接到以太坊，然后通过1inch aggregator的几笔交易主要换成了USDC。

这个钱包与terra1cn2fh0k8f5ywzjl2s947xrpdnnerfnkg9qg2r7有关，我们在分析Anchor Protocol时也强调了这个钱包。

4.0x1df8ea15bb725e110118f031e8e71b91abaa2a06 (D3) or hs0327.eth (see The Battle of the Curve)

同样，这个钱包通过虫洞收到了很多交易，有的早在1月份就收到了。5月8日，它在一次1-1.5M的UST交易中，将价值刚过2000万的UST桥接到以太坊。这相当于在此期间总流出量的1.6%。

这个钱包与terra1vlel4dpqldcwm7ztre3k03apcldeawpq98rah0有关，该钱包在2月和3月还将交易桥接到另一个以太坊地址0x6524b211ef8e4baf346f1b780b08a3811ee9f3cd。值得注意的是，与其他钱包相比，该钱包提前退出了安科，其最新的交易是在5月1日。

5.0x41339d9825963515e5705df8d3b0ea98105ebb1c (H) or Smart LP 0x413 (Figure 7)

根据Nansen的标签，这个钱包是Smart LP。这个钱包桥接了大约880万（1月下旬），然后又将价值3000万的UST桥接到Terra（2月）。此外，它在4月27日和5月8日分别以1000万和2000万的交易将大约相同的金额嫁接到以太坊。2千万的UST交易可以追溯到Curve，该钱包将2千万的UST换成了USDC。

该钱包与terra1vca36gazapns38mvupa2pfjz0g39ekdgk0wnea有关。在我们对Anchor Protocol的分析中也发现了它，在整个4月和5月都有交易。5月7日之后，它似乎已经完全退出了Anchor。

6.0x68963dc7c28a36fcacb0b39ac2d807b0329b9c69  (F) or Token Millionaire / Heavy Dex Trader (see Figure 7)

根据Nansen的标签，这个钱包是一个Token Millionaire。这是一个相当新的钱包，在2022年3月底才开始交易，与阿尔法金融实验室相关的钱包有互动。该钱包仅在5月8日记录了从泰拉到以太坊的交易。这些交易总价值约为3000万的UST，然后在3个独立的交易中被换成了Curve的USDC。该钱包与terra17mh65gqelelxu9r5fyz9l56mx60zdg274fwe40有关。

7.0x9f705ff1da72ed334f0e80f90aae5644f5cd7784 (J) or Token Millionaire / Heavy Dex Trader (see Figure 7)

该钱包在5月8日和5月9日进行了多次交易，共将约6000万UST嫁接到以太坊。随后，这些资金在Curve上被分别换成了USDT。该钱包与terra1hapgv57ytaaaatvz92k46fzwxs9m2zsdr46rph有关。

8.0xeb5425e650b04e49e5e8b62fbf1c3f60df01f232 (C) or Heavy Dex Trader (see Figure 7)

这个钱包在5月8日收到了大约1050万的UST，这些资金在Curve上被换成了USDT。根据链上数据，该钱包与terra1autyehjkpl9r4h99qa4v66h2tz8589haw9uyxm、terra1rhds9ltx9t5wxq22v9x9j26pk9tuwyykwhm9gy和terra14geatm83tykw5v3uw6klkcwwqf00tfwk72dq62有关。这些钱包在5月7日从Terra桥接了价值910万、737K和615K的UST，金额约为1050万UST，与以太坊地址上的交易相符。

暴风雨过后:在中心化交易所的销售和套利行为

从5月1日到5月20日，所有被Nansen标记的集中式交易所的账户都收到了大约2.25亿个代币的净流入，包括虫洞-UST和wrapped-UST。我们在本节中用 "UST "来指代汇总的虫洞和wrapped的代币。

值得注意的是，2022年5月9日，中心化交易所的UST净流入势头强劲，5月10日的净流入量最大（当天有1.65亿个代币被送到中央交易所）。我们的结论是，如果向中央交易所的净卖出可能对去杠杆化进程造成了最后的打击，那么它似乎不太可能启动这一进程。正如我们之前所描述的，UST与Curve流动性池中的其他稳定币的互换在交易所卖出之前就已经开始了。

图14：流向中心化交易所的UST总净值（Nansen标示）

通过对中心化交易所的顶级UST净储户的扫描，我们交叉引用了一些早期（5月7日至5月8日）通过Curve资金池交换UST的钱包。这些钱包可能通过Curve和随后的交易所退出了他们的一些UST头寸。

图15：向中心化交易所发送UST的顶级钱包+早期Curve交换者+Wonderland（5月1日至5月10日）

图16：向中心化交易所发送USDC的顶级钱包+早期Curve交换者（5月1日至5月10日）。

鉴于大多数早期的曲线交换者已经从资金池中提取了USDC，我们回顾了5月1日至5月20日集中式交易所的最大USDC储户。在那里，又出现了熟悉的钱包。

我们注意到，钱包（A）地址在5月7日21:57 UTC（8500万UST）启动了第一个重要的UST流入，并获得8450万USDC作为回报，在5月8日午夜和凌晨1点UTC之间的几笔交易中向Coinbase发送了USDC总金额。

虽然对CEX的净流入提供了高水平的洞察力，但我们转向了先前标记的钱包中的UST流动活动，以更精细的方式了解链上的动态。我们专注于三个钱包，因为它们与CEX的交易量大且多（图17、18和19）。

图17：Masknft.eth的重要活动--（Binance到Curve MIM-UST）和（Curve 3pool-Binance）。

Masknft.eth有7690万UST净流出到CEXs。我们观察到，该钱包从Curve购买了约9690万UST（从1inch路由），并迅速将其卸载到Binance。

我们还在5月8日发现了几笔交易（总计约1190万UST），其中masknft.eth从Binance转移UST，并在Curve MIM-UST池上将其交换为MIM。虽然我们无法确认这些转移到Binance的交易是否是套利交易，但我们的猜测是，masknft.eth可能在脱钩期间在Binance购买了UST（UST在当天创下了约0.985的低点），并在第二天挂钩设法短暂恢复时在Curve出售以获取利润。

虽然Oapital有5690万UST净流出到CEXs，但钱包的活动是高度多样化的，并不像我们之前确定的许多其他钱包那样仅限于定向流动。

图18：Oapital的重要活动

上表显示，仅Oapital就对Binance和FTX产生了巨大的抛售压力，大部分的卸载活动都是在Binance进行的。遗憾的是，我们无法匹配从虫洞UST迁移者合约地址收到的UST的来源。

观察Oapital的一些交易，我们注意到这个钱包可能在套利时获得了巨大的收益，正如上面的一个交易中所看到的。假设Etherscan上转账当天的估计价值准确地反映了Oapital的UST成本，该钱包可能从这单交易中获得了约132.5千美元的利润。

图19：Wonderland DAO对Binance的UST存款

除了上述可疑地址，我们还注意到Wonderland DAO在5月10日和11日之间向Binance发送了5740万UST，在清算了他们的Abracadabra Degenbox之后。

"然后有七个人"

图20：可能对UST脱钩产生重大影响的钱包

结论

鉴于UST脱钩的金融和心理后果的严重性，许多关于 "发生了什么 "的叙述充斥着互联网。我们的分析利用链上数据来解读UST脱钩之前和期间发生的事情。通过对链上活动的检查，我们发现少数钱包和这些钱包背后可能更少的实体导致了调节UST和其他稳定币之间平价的Curve流动性协议的失衡。

早在5月7日晚（UTC），七个 "发起 "的钱包就在Curve上交换了大量的UST和其他稳定币。这七个钱包在5月7日和之前（早在4月）从Anchor协议中提取了大量的UST，并通过Wormhole将UST桥接到以太坊区块链上。在这七个钱包中，有六个与中心化交易所互动，发送更多的UST（据说是为了卖出），或者对于其中的一个子集，发送从Curve的流动性池中换来的USDC。

这项链上研究驳斥了关于一个 "攻击者 "或 "黑客 "在破坏UST的说法。相反，我们发现少数玩家发现并套用了漏洞--特别是与Curve资金池的浅层流动性有关的漏洞，以确保UST与其他稳定币的挂钩。这导致了以下事件的发生：

1. 从Terra的Anchor协议中提取UST资金。
2. 通过虫洞基础设施将这些资金从Terra桥接到Ethereum
3. 将大量的UST换成Curve流动性池中的其他稳定币
4. 在 "脱钩 "过程中，其中一些钱包可能利用了各种定价来源（Curve、去中心化交易所DEX、中心化交易所CEX）之间的低效率，在CEX和DEX之间的交易中进行买卖。

尾声：链上数据，从取证到风险管理

鉴于这项研究的重点是链上数据，我们将避免对引发这一系列事件的七个钱包的目标进行评论。我们只想补充一点意见，以补充我们的链上调查：在加密货币市场运作时，拥有强大的风险管理框架，特别是在动荡的宏观时期，似乎是对预期收益分析的补充。

再一次转向链上数据，我们想推荐可以为风险管理提供相关输入的工具。南森智能警报功能在允许链上流量和代币转移监测的程度上符合条件。例如，智能警报可以接收任何异常的链上活动的通知，例如从流动性池中的不规则提款，我们在去Peg前不久从Curve池中看到。

我们以一个智能警报的例子来结束这篇笔记，一个由进出Curve流动性池的任何超过2000万美元的交易所触发的警报。