Circle заблокувала адресу смарт-контракту, що стоїть за конфіденційним стейблкоїном USDC від Zama, у п’ятницю, заблокувавши приблизно $12,6 мільйона стейблкоїнів у приватному протоколі, який сам по собі не є об’єктом жодного позову.
Заморозка вплинула на обгортку cUSDC компанії Zama — проксі ERC-1967, яка об’єднує USDC від імені власників, що використовують повну гомоморфну шифрування для приховування балансів на Ethereum. Он-чейн дослідник ZachXBT оцінив заблоковану суму у 12 606 386,10 USDC і сказав, що блок був здобутий о 01:08 UTC 30 травня. Circle публічно не пояснила цю дію.
Ця дія є найбільшою за обсягом в доларах випадком знайомої проблеми DeFi: централизований чорний список видавця стейблкоїну через складений контракт заблокував невинних користувачів разом із цільовим депозитором. Zama, яка минулого року зібрала серію B на свою стек конфіденційного блокчейну, є першим іменованим DeFi-протоколом, який потрапив у цей огонь у такому масштабі.
Як заморозка дісталася невинного контракту
Тригером став громадянський спір щодо Overnight Finance — DeFi-протоколу з токеном OVN, власники якого стверджують, що команда готувалася вивести кошти з казни та недавно голосувала на Snapshot щодо розподілу коштів. Позивачі у справі вимагають компенсації від засновника Overnight Finance Максима Ермілова; ZachXBT назвав компанію Patagon Management, що має штаб-квартиру в Делавері та історію подання позовів проти DAO-проектів, одним із позивачів.
Суд видав заборону на гаманці, пов’язані зі спором, за ніч до того, як Circle здійснив переказ. Адреса, яка, як стверджується, пов’язана зі спірними коштами, внесла близько 12,4 мільйона доларів США USDC до обгортки cUSDC компанії Zama 11 травня, що становить понад 99% балансу обгортки. Указ суду вимагав, щоб Circle заморозив саму обгортку, а не депозитора; Circle виконав це. Чорний список охоплює всі USDC у пулі, а не лише спірну частину.
Що стверджує Zama
Генеральний директор Zama Ренд Хінді підтвердив розслідування о 10:37 за універсальним координованим часом. «Ми розслідуємо заморожування контракту cUSDC. Я оновлюватиму тут, як тільки ситуація розвиватиметься», — написав він. Хінді зазначив, що інцидент не пов’язаний з технологією конфіденційності Zama, і адреса для депозиту не була позначена чи санкціонована інструментами Know-Your-Transaction на момент депозиту 11 травня. Як заходи обережності, Zama призупинила свої контракти cUSDC, cUSDT і cWETH до завершення перевірки.
ZachXBT, який захищав Zama як невинну третю сторону, стверджував, що позивач неправильно трактував зв’язок між замороженою адресою та обгорткою Zama під час провадження, і сказав, що команда Zama, схоже, не отримала попереднього повідомлення до того, як Circle виконала чорний список.
Проблема композиції
Функція чорного списку Circle вбудована в смартконтракт USDC ERC-20: авторизовані акаунти можуть позначити адресу; після позначення адреса не може надсилати чи отримувати USDC, а існуючий баланс блокується. Цей механізм працює чітко для зовнішньо власного гаманця. Він не вибірковий щодо пулового смартконтракту, де активи користувачів змішані з активами цільового депозитора.
Ця напруга не є новою. Circle включив санкційні адреси Tornado Cash у чорний список у серпні 2022 року після того, як Міністерство фінансів США додало міксер до списку SDN і заморозив приблизно 75 000 USDC. Заморожування Zama використовує той самий механізм, але в набагато більшому масштабі — і без санкцій OFAC. Достатньо було судового рішення у приватній цивільній справі.
Де знаходяться власники
Генеральний директор Circle Джеремі Аллєр сказав у квітні, що компанія не заморозить USDC без рішення суду, навіть якщо йдеться про вкрадені кошти. Заморожування Zama відповідає цьому критерію, але працює в іншому напрямку: рішення суду від приватного позивача зараз заморозило цілий DeFi-контракт з приватності.
Власники cUSDC не мають чіткого шляху до відновлення, поки триває заморозка. Hindi обіцяв провести постмортем та оновити процедури відповідності після огляду. Circle може скасувати цю дію, обмежити її або опублікувати обґрунтування; доки вона цього не зробить, контракт — та користувачі всередині нього — чекають.