Curve Finance

Eventi documentati e chiusi. Restano in scheda: il passato di un operatore è un dato, non una condanna.

1. 30 lug 2023 Hack / furto di fondi Critico 75 Mln USD ✓ risolto

   Bug del compilatore Vyper: quattro pool svuotate per circa 74,5 milioni di dollari. Rimborso votato a dicembre 2023, ma 42 dei 49,2 milioni pagati in token CRV vincolati

   Il 30 luglio 2023, fra le 13:10 e le 22:00 UTC, quattro pool di Curve sono state svuotate in sequenza. La falla non era nel codice di Curve: era nel compilatore. Le versioni 0.2.15, 0.2.16 e 0.3.0 del linguaggio Vyper generavano una protezione contro la rientranza che non funzionava — il lucchetto c'era nel codice sorgente e non c'era nel contratto compilato. Chi aveva scritto quelle pool aveva fatto la cosa giusta e si ritrovava comunque scoperto. Il bug era stato corretto nella versione 0.3.1, ma i contratti già in produzione restavano quelli. LE POOL E LE CIFRE, UNA PER UNA (analisi LlamaRisk): pETH/ETH, 6.106,65 WETH (~11 milioni di dollari); msETH/ETH, 866,55 WETH (~1,6 milioni) e 959,71 msETH (~1,8 milioni); alETH/ETH, 7.258,70 WETH (~13,6 milioni) e 4.821,55 alETH (~9 milioni); CRV/ETH, 7.193.401,77 CRV (~5,1 milioni al momento dell'attacco), 7.680,49 WETH (~14,2 milioni) e 2.879,65 ETH (~5,4 milioni). Totale intorno ai 74,5 milioni di dollari. Le stime circolate sulla stampa oscillano fra 52 e 74 milioni a seconda di cosa viene contato e a quali prezzi: la cifra qui è quella del riepilogo tecnico, con il dettaglio per pool in modo che sia verificabile. COSA È TORNATO INDIETRO DA SOLO. Parte dei fondi è stata estratta prima degli attaccanti da operatori whitehat: 2.879,65 ETH (~5,4 milioni) sottratti alla pool CRV/ETH da c0ffeebabe.eth sono stati restituiti al team Curve. Altri fondi sono stati riconsegnati dall'attaccante stesso ad Alchemix e a JPEG'd dopo che i progetti hanno offerto la ricompensa del 10% prevista dal programma bug bounty. Le altre pool non hanno avuto la stessa sorte. IL RIMBORSO, E IL DETTAGLIO CHE CAMBIA IL SENSO DELLA PAROLA. Il 21 dicembre 2023 la governance ha approvato con il 94% dei voti la distribuzione di circa 49,2 milioni di dollari ai fornitori di liquidità colpiti nelle pool Curve, JPEG'd, Alchemix e Metronome. Di questi, circa 7,2 milioni erano ETH effettivamente recuperati; i restanti circa 42 milioni sono stati pagati in token CRV soggetti a vesting, attinti dal fondo della comunità (in totale 55.544.782,73 CRV deliberati). Detto altrimenti: chi aveva messo ETH nelle pool si è visto restituire in buona parte il token di governance del protocollo, rilasciato nel tempo e con un prezzo che può muoversi in qualunque direzione. È un rimborso reale e votato, non una promessa — ma non è la stessa cosa di riavere indietro ciò che si era depositato, e questa scheda non lo scrive come se lo fosse. PERCHÉ CONTA ANCORA OGGI. Il fatto è chiuso, ma la lezione no: il rischio non stava nel contratto né negli audit di quel contratto — gli audit c'erano — bensì in uno strato sotto, il compilatore, che nessuna delle verifiche in uso guardava.

   ↗ fonte
2. 9 ago 2022 Hack / furto di fondi Grave 573K USD ✓ risolto

   Dirottamento del DNS di curve.fi: il sito ufficiale ha servito per circa un'ora un clone che svuotava i wallet, oltre 573.000 dollari sottratti agli utenti

   Il 9 agosto 2022 il nameserver del dominio curve.fi è stato compromesso presso il registrar iwantmyname. Chi digitava l'indirizzo ufficiale finiva su una copia identica del sito, che al posto delle normali operazioni chiedeva di firmare un'autorizzazione a favore di un contratto dell'attaccante: i fondi venivano prelevati dal wallet della vittima, non dalle casse del protocollo. Curve ha dato l'allarme dal proprio account ufficiale — «non usate il sito, il nameserver è compromesso» — e circa un'ora dopo ha annunciato di aver individuato e ripristinato la configurazione, invitando chiunque avesse approvato contratti su Curve nelle ore precedenti a revocare l'autorizzazione «immediatamente». Le ricostruzioni della stampa specializzata quantificano in poco più di 573.000 dollari quanto sottratto in quella finestra. DUE COSE DA TENERE DISTINTE. Gli smart contract di Curve non sono stati toccati: chi aveva liquidità nelle pool non ha perso nulla per questo fatto. A perdere sono stati gli utenti che in quell'ora hanno firmato sul sito fasullo. È un attacco allo strato web del servizio, non al protocollo — ma è comunque un fatto del servizio, perché il dominio dirottato era il suo. QUELLO CHE NON È SUCCESSO. Non risulta alcuna restituzione agli utenti colpiti: i 573.000 dollari non sono mai tornati indietro. Il fatto è chiuso nel senso che il dominio è stato ripreso in giornata, non nel senso che qualcuno sia stato rimborsato. IL PRECEDENTE CHE CONTA. Il registrar coinvolto, iwantmyname, è lo stesso del dirottamento del maggio 2025 registrato qui sotto: la stessa dipendenza esterna ha ceduto due volte a tre anni di distanza, ed è la ragione per cui nel 2025 Curve ha lasciato il dominio .fi.

   ↗ fonte
3. 12 mag 2025 Disservizio grave Moderato ✓ risolto

   Dominio curve.fi dirottato di nuovo presso lo stesso registrar: sito ufficiale sostituito da un'esca che chiedeva firme. Contratti e fondi intatti, migrazione definitiva a curve.finance

   Il 12 maggio 2025 alle 20:55 UTC il dominio curve.fi è stato dirottato a livello di registrar: gli attaccanti hanno modificato la delega DNS e l'indirizzo ufficiale ha iniziato a puntare a un sito che imitava la homepage di Curve. Il team se n'è accorto alle 21:20 UTC. COSA C'ERA DALL'ALTRA PARTE. Secondo il resoconto di Curve il sito fasullo era «un'esca statica, che non funzionava come un vero frontend e si limitava a chiedere all'utente di firmare con il wallet». Nessuno smart contract, nessun fondo e nessun dato utente è stato toccato: il protocollo è rimasto «pienamente sicuro e operativo» e ha trattato oltre 400 milioni di dollari di volume durante il disservizio, perché chi opera via contratto o via interfacce alternative non passa dal dominio. Il perimetro, dice la società, era «strettamente limitato allo strato DNS». Nella risposta sono stati coinvolti fornitori di wallet come Phantom, che hanno bloccato l'accesso al sito compromesso. LA DECISIONE CHE NE È SEGUITA. Curve non ha aspettato di riavere il dominio: ha spostato il frontend ufficiale su curve.finance e ha raccomandato di raggiungere il protocollo tramite il dominio ENS curve.eth. La ragione dichiarata è il disservizio prolungato e il supporto limitato ricevuto dal registrar del .fi, iwantmyname — lo stesso registrar del dirottamento dell'agosto 2022. Sulla causa esatta la società dice di non aver rilevato segni di compromissione delle proprie credenziali e che l'accertamento è rimasto aperto. PERCHÉ È QUI. Non c'è stato furto dalle casse del protocollo, e per questo la voce non è classificata come hack. Ma per ore l'indirizzo che la gente conosce a memoria ha servito una trappola: per l'utente il servizio era irraggiungibile in sicurezza, ed è esattamente il tipo di fatto che questa scheda deve dichiarare.

   ↗ fonte

verificato il 27 set 2026