Circle заморозила контракт cUSDC Zama, заблокировав $12,6 млн средств пользователей
Circle в пятницу внесла в чёрный список адрес смарт-контракта, лежащего в основе конфиденциального токена USDC от Zama, из-за чего внутри протокола приватности оказались заблокированы около $12,6 млн стейблкоинов. Сам протокол при этом не является объектом каких-либо судебных претензий.
Под удар попала обёртка cUSDC от Zama — прокси ERC1967, аккумулирующая USDC от имени держателей, которые используют полностью гомоморфное шифрование протокола, чтобы скрывать балансы в сети Ethereum. Ончейн-исследователь ZachXBT оценил застрявший объём в 12 606 386,10 USDC и сообщил, что блокировка была применена 30 мая в 01:08 UTC. Публичных объяснений со стороны Circle не последовало.
Случай стал крупнейшим по сумме проявлением известной проблемы DeFi: централизованный чёрный список эмитента стейблкоина "пробивает" композицию контрактов и вместе с адресом-целью блокирует средства непричастных пользователей пула. Для Zama, которая в прошлом году привлекла раунд Series B на развитие своего стека конфиденциального блокчейна, это первый столь масштабный инцидент такого рода с участием названного DeFi-протокола.
Причиной стала гражданско-правовая тяжба вокруг Overnight Finance — DeFi-протокола токена OVN, держатели которого утверждают, что команда якобы готовилась вывести средства из казны; недавно на Snapshot проходило голосование о распределении средств. Истцы требуют возмещения ущерба с основателя Overnight Finance Максима Ермилова; ZachXBT также называл среди истцов зарегистрированную в Делавэре Patagon Management — фирму, известную судебными исками к DAO-проектам. Накануне действий Circle суд выдал ограничительный приказ в отношении кошельков, связанных со спором.
По данным ZachXBT, адрес, предположительно связанный со спорными средствами, 11 мая внёс около $12,4 млн USDC в обёртку cUSDC Zama, сформировав более 99% её баланса. В судебном документе Circle попросили заморозить именно обёртку, а не депозитора, и компания выполнила требование. В результате блокировка затронула весь пул USDC, а не только долю, относящуюся к спору.
Генеральный директор Zama Ранд Хинди в 10:37 UTC подтвердил, что компания разбирается в ситуации: "Мы расследуем заморозку контракта cUSDC. Буду обновлять информацию по мере развития событий", — написал он. По словам Хинди, инцидент не связан с технологией приватности Zama, а адрес депозитора на момент внесения средств 11 мая не был отмечен инструментами мониторинга KnowYourTransaction как подозрительный или находящийся под санкциями.
В качестве меры предосторожности Zama приостановила контракты cUSDC, cUSDT и cWETH до завершения проверки. ZachXBT, который называл Zama невиновной третьей стороной, заявил, что истец в ходе разбирательства мог неверно представить характер связи между замороженным адресом и обёрткой Zama; также он утверждает, что команда Zama не получила предварительного уведомления перед применением чёрного списка.
Механизм чёрного списка встроен в контракт USDC (ERC-20): уполномоченные аккаунты могут пометить адрес, после чего он не способен отправлять или получать USDC, а текущий баланс блокируется. Для обычного кошелька это работает предсказуемо, но для пулового смарт-контракта, где активы пользователей смешаны с активами адреса-цели, механизм действует без разбора.
Подобные прецеденты уже были. В августе 2022 года Circle внесла в чёрный список адреса Tornado Cash после включения миксера Минфином США в список SDN, заморозив около 75 000 USDC. Ситуация с Zama использует тот же подход, но на существенно больший объём и без подлежащего ей обозначения OFAC: оказалось достаточно судебного приказа в рамках частного гражданского спора.
В апреле CEO Circle Джереми Аллейр говорил, что компания не будет замораживать USDC без судебного решения даже в случаях кражи средств. Формально текущая блокировка этому критерию соответствует, но результат обратный: постановление по иску частного истца заблокировало целиком DeFi-контракт приватности. У держателей cUSDC нет понятного пути к возврату средств, пока заморозка действует.
Хинди пообещал опубликовать разбор инцидента и обновить комплаенс-процедуры по итогам проверки. Circle может отменить блокировку, сузить её или объяснить основания; до тех пор контракт — и пользователи внутри него — остаются в ожидании.
