Засновник Mochi Finance Azeem Ahmed продає 550,000 CVX із $54M rug pull виручки, оскільки звинувачення в шахрайстві охоплюють чотири DeFi проекти

Азім Ахмед, засновник Mochi Finance та його стабільної монети USDM, а також фігура, пов’язана з обвинуваченнями у шахрайстві щонайменше в чотирьох проектах децентралізованих фінансів з 2020 року, 19 березня 2026 року продав приблизно 550 285 токенів CVX через гаманець, який блокчейн-аналітики публічно асоціюють із протоколом Mochi з часів витоку з пулу Curve Finance у листопаді 2021 року, що спричинив одну з небагатьох екстрених інтервенцій DAO в історії Curve.

Продаж, здійснений за середньою ціною $1.72 за токен, приніс приблизно $946 000 і спричинив зниження ціни CVX більш ніж на 10%, з $1.88 до $1.68, згідно з даними на блокчейні, переглянутими Crypto Daily. Виручка була спрямована на мультиsig-гаманець, пов’язаний із протоколом Mochi, який станом на вечір 19 березня містив приблизно $864 858 у загальних активах, згідно з портфельним трекером DeBank. Ще 500 000 CVX залишаються заблокованими на Convex Finance.

Вбудований оракул, 10 мільярдів марних токенів і витік пулу Curve на $46 мільйонів

Токени CVX, що лежать в основі конфлікту, походять із 11 листопада 2021 року. За даними блокчейн-записів і сертифікованих звітів від forensic-фірми IFW Global, гаманець, пов’язаний із Mochi Finance, обміняв 10 мільярдів MOCHI — керівний токен протоколу, який був закодований у системі оракула за фіксованою ціною незалежно від його майже нульової ринкової вартості, — на приблизно 46 мільйонів USDM, стабільну монету Mochi.

USDM одразу ж обміняли на 46 004 689.94 DAI через пул Curve USDM/3CRV, фактично витягуючи реальну ліквідність стабільної монети. Провайдери ліквідності, які внесли DAI, USDC і USDT, виявили, що їхні активи були замінені на USDM, що згодом втратило прив’язку. DAI потім конвертували через ZeroEx і SushiSwap у приблизно 9 876 ETH і використали для купівлі 1 050 285 CVX, які були заблоковані на Convex Finance.

Екстрений DAO Curve відповів, зупинивши нагороду USDM. CoinDesk висвітлив інцидент під заголовком «Curve Wars розігріваються: виклик екстреного DAO після «чіткої атаки на управління»». Засновник Yearn Finance Андре Кронье публічно заявив, що Mochi став на 65% недозастрахованим. Коли Crypto Briefing запитав Ахмеда про коментар, він назвав свої дії «сміливим кроком для здобуття голосів у DAO» і охарактеризував себе як «маленького гравця на периферії», якого «DeFi Cartel» вважав загрозою.

Сертифіковані звіти IFW Global фіксують збитки окремих інвесторів у розмірі $4.87 мільйонів і $3.35 мільйонів відповідно. Обидва інвестори подали присяжні заяви. Загальні збитки всіх постраждалих провайдерів ліквідності оцінюються понад $54 мільйони.

Аудит Dedaub виявив вразливість за п’ять місяців до експлойти

Перед запуском Mochi Finance Ахмед замовив аудит смарт-контракту у компанії Dedaub, що спеціалізується на безпеці блокчейнів. Звіт червня 2021 року виявив дві критичні та п’ять високорівневих вразливостей у коді протоколу.

Одна з високорівневих вразливостей, позначена H5, вказувала, що чутливі функції в контракті OracleRouter.sol позбавлені контролю доступу. Це означало, що функції були відкриті, тобто не мали обмежень, і ця проблема залишалася нерозв’язаною на момент публікації звіту. OracleRouter — компонент, відповідальний за визначення, які токени можуть виступати заставою і за якою ціною, — саме через цю механіку інвестори звинувачують, що п’ять місяців потому її експлуатували для штучного завищення вартості MOCHI і створення $46 мільйонів необезпечених стабільних монет.

Чотири роки витягування: зростання комісій, диверсії нагород і витік ліквідності

Після витоку з пулу Curve Ахмед не зник. Він переформатувався через нову структуру GaiaDAO і запровадив «Модуль ребалансування прив’язки» (PBM), який позиціювали як механізм розподілу нагород за ставкою CVX серед власників USDM і поступового відновлення прив’язки стабільної монети.

Загалом, PBM стягав 2% управлінської комісії та 20% за результатами, що йшли Ахмеду. За даними форуму управління Curve у темі «Як допомогти USDM — жертви Mochi ‘повільної підстави’», Ахмед згодом підвищив цю комісію до 50% без попереднього повідомлення, повернувшись до 20% лише після заперечень спільноти. У цій темі описувалися розчарування користувачів, які платили тому, хто їх витягнув, за можливість часткового відшкодування.

До листопада 2025 року ця схема припинилася. Блокчейн-записи показують, що всі розподіли нагород за ставкою з позиції 1 050 285 vlCVX припинилися. Дані транзакцій свідчать, що нагороди були спрямовані на гаманець, який також виступає підписантом мультиsig, що тримає CVX — цей гаманець ідентифікують кілька аналітиків як особистий адрес Ахмеда. Оцінювані дивіденди від диверсії нагород перевищують $1.6 мільйонів.

Окремо, приблизно 2 198 ETH, вартістю близько $6.67 мільйонів на той час, і $471 429 у USDC нібито були виведені з пулів Mochi/ETH і так і не повернулися вкладникам. Також повідомляється, що розподіли через протоколи Prisma, CNC, VELO, LFT і YB так і не були роздані власникам токенів. Функції претензій GaiaDAO щодо нагород з грудня 2023 року не працюють.

Шаблон проектів: $SAFE, Armor.fi, Mochi і GaiaDAO

Публічні записи та заяви колишніх співробітників свідчать, що інцидент із Mochi — не перший випадок, коли Ахмед стикається з обвинуваченнями у неправомірному використанні коштів у секторі децентралізованих фінансів. Цей шаблон простежується щонайменше в чотирьох проектах з 2020 року.

Найраніше задокументоване залучення Ахмеда — з проектом Yieldfarming.insure ($SAFE). У статті Decrypt 2020 року його охарактеризували як DeFi-інвестора, який радив бути «жадібним у приваті». Колишні учасники стверджують, що він використовував внутрішню інформацію для передстояння нагород за ставкою і вилучення цінності з пулів Balancer.

Після цього Ахмед співзаснував Armor.fi, протокол страхування у DeFi, побудований на контрактах Nexus Mutual, разом із Робертом Форстером і Кореєм Джексоном. У листопаді 2021 року Форстер опублікував у X (колишній Twitter) звинувачення, що Ахмед вкрав «мільйони LP-токенів» і захопив контроль над його соцмережами. «Мене масово ліквідували, а він отримав контроль над соцмережами і каналами», — писав Форстер у треді, де описував схему обману і неправомірного використання коштів.

GaiaDAO, структура, створена Ахмедом для компенсації власників USDM через PBM, сама стала інструментом для подальшого витягування коштів, як описано вище.

Попередні судові процеси: Chen проти Ахмеда і примусова угода

Залучення Ахмеда до судових процесів додає контексту. У лютому 2021 року користувач протоколу Armor.fi, Дейвід Чен, подав позов у Верховний суд Сан-Франциско (справа CGC-21-589609), звинувативши Ахмеда у спробі неправомірно заволодіти $1.6 мільйонами, пов’язаними з виплатою Nexus Mutual у розмірі 1 000 ETH.

Згідно з судовими записами, адвокат Чена, Райан Абботт із Brown, Neri, Smith & Khan LLP, швидко рухався: лист із вимогою — 7 лютого, позов — 12 лютого, і заявка на тимчасовий заборонний наказ — 17 лютого. ТРО мав зупинити передачу або зменшення доступу до 1 000 ETH.

Після програшу на попередньому слуханні, Ахмед погодився на позасудову угоду. Умови не розголошувалися. За кілька місяців він запустив Mochi Finance.

Продаж 19 березня і аналіз гаманців

Продаж CVX 19 березня був вперше зафіксований спостерігачами блокчейну, що слідкували за гаманцями, пов’язаними із Mochi. Основний підписантський гаманець Ахмеда (0xf6c40c4391d6570032d2eb7a9cd9935898c430cf) виконав серію транзакцій, що ліквідували приблизно 550 285 CVX. Виручка у DAI була переведена на мультиsig-протокол Mochi (0x597f540bb63381ffa267027d2d479984825057a8).

Залишкові 500 000 CVX залишаються заблокованими на Convex Finance. Учасники спільноти, що відслідковують гаманці, висловлюють побоювання, що Ахмед може спробувати продати заблоковані токени через проміжні гаманці після розблокування — спершу продавати, потім викупляти через нові гаманці і знову блокувати, щоб розірвати ланцюг доказів у блокчейні.

Цей продаж — найвідвертіша дія Ахмеда з часів витоку у листопаді 2021 року. Впродовж років у спільноті DeFi точилися дискусії, чи був цей випадок з Mochi спробою управлінської атаки, чи навмисним крадіжкою. Вирішальним вважається те, що він продав токени, а не повернув, не розподілив або не спалив їх — це сприймається інвесторами як остаточна відповідь на питання.

Поточний статус і мовчання Ахмеда

У судових документах його описують як громадянина Великої Британії. Його соцмережі неактивні вже кілька місяців. Вебсайти Mochi Finance і GaiaDAO залишаються онлайн, але не оновлювалися. Discord-платформа проекту майже покинута.

Він не реагував публічно на звинувачення Форстера, результати розслідування IFW Global або обговорення у форумі управління Curve щодо його поведінки.

Згідно з даними блокчейну, він був залучений щонайменше у чотири проекти — $SAFE, Armor.fi, Mochi Finance і GaiaDAO — кожен з яких закінчився обвинуваченнями у неправомірному використанні коштів. В одному випадку його судили і змусили укласти угоду, в іншому — співзасновник звинуватив його у крадіжці у соцмережах. У найбільшому випадку зняли $46 мільйонів з пулу Curve, і зараз, через понад чотири роки, ці кошти продаються.

На момент публікації в гаманці Ахмеда залишилось 500 000 CVX.