Convex Finance

Convex se lanzó en mayo de 2021 con una propuesta sencilla: reunir posiciones LP de Curve, reclamar sus recompensas en CRV a gran escala y permitir que la liquidez subyacente siguiera siendo retirable mediante los comprobantes de Convex. Curve continuó definiendo sus indicadores de liquidez y las reglas de veCRV; Convex actuó como una capa de agregación sobre ese sistema.

El contrato delegado de voto concentró bloqueos de CRV y una influencia sobre los indicadores de liquidez difícil de igualar para un usuario individual. Esa concentración dio valor a la orientación del voto, pero no convirtió CVX en propiedad sobre Curve, la tesorería de Convex o los tokens LP depositados.

CrvDepositor transfiere CRV al contrato de Convex que mantiene el bloqueo, prolonga su plazo en Curve y acuña la misma cantidad de cvxCRV. Su código no incluye una función inversa para quemar cvxCRV y recuperar CRV. La proporción 1:1 describe la acuñación; quien quiera salir mediante un mercado secundario depende del precio y la liquidez disponibles.

CVX no se acuña según un calendario uniforme. Cuando Booster reclama recompensas en CRV para los proveedores de liquidez de Curve, el contrato emisor consulta la oferta total y reduce la cantidad de CVX acuñada por cada CRV a lo largo de 1.000 tramos. Cada tramo comprende 100.000 CVX y la acuñación termina al alcanzar una oferta de 100 millones.

El plan inicial reservó el 50% de la oferta para recompensas de proveedores de liquidez de Curve y el 25% para incentivos de liquidez durante cuatro años. La tesorería recibió el 9,7%, el equipo el 10%, los inversores el 3,3% y otros dos grupos recibieron sendas distribuciones gratuitas del 1%. El plan publicado establecía un año de adquisición gradual para las asignaciones de la tesorería, los inversores y el equipo.

Los cvxCRV depositados en participación pueden recibir comisiones en CRV, CVX y recompensas procedentes del sistema de voto bloqueado de Curve, como crvUSD. El CVX en participación puede recibir las comisiones configuradas, pero votar exige una acción distinta: bloquear CVX durante 16 épocas semanales completas para obtener vlCVX.

Los titulares de vlCVX deciden cómo emplea Convex su poder veCRV agregado en las votaciones sobre propuestas y sobre la asignación de emisiones entre los indicadores de liquidez de Curve. Mercados externos pueden pagar por orientar esas decisiones, pero sus ofertas son acuerdos variables con terceros, no un dividendo fijo que el protocolo deba a todos los titulares de CVX.

El contrato Booster heredado permite a funciones designadas añadir o cerrar grupos de depósito, actualizar determinadas fábricas de contratos, fijar la dirección de la tesorería y modificar las comisiones dentro de límites codificados. La parte destinada a quienes participan con cvxCRV puede situarse entre el 10% y el 15%; la destinada a CVX, entre el 3% y el 6%; la tesorería puede recibir entre el 0% y el 2%, y quien ejecuta la reclamación, entre el 0,1% y el 1%. El conjunto de cargos no puede superar el 20% en ese contrato.

OpenZeppelin descubrió que la arquitectura anterior podía permitir que dos de los tres firmantes anónimos de la multifirma obtuvieran acceso sin restricciones a los tokens LP, pese a la descripción pública de las facultades administrativas. Convex corrigió esa vía el 14 de diciembre de 2021. El informe independiente, publicado después, señala que no se perdieron fondos.

En junio de 2022, los atacantes actuaron en otra capa: secuestraron el DNS y mostraron una interfaz clonada que pedía aprobaciones maliciosas. El informe posterior de Convex prometió compensar con fondos de la tesorería, mediante CVX de valor equivalente, las pérdidas identificadas. El primer incidente afectó al alcance de los contratos; el segundo, a la confianza depositada en el sitio web.

Convex publicó más adelante una arquitectura basada en ConvexCore y VotingRegistry. En ella, la gobernanza autoriza a operadores para ejecutar llamadas en los sistemas de voto admitidos. El diseño permite identificar mejor la cadena de autoridad en el código, pero cada usuario todavía debe comprobar los propietarios, operadores, contratos delegados y distribuidores de recompensas vigentes en la implementación concreta que utiliza.