Pięć miesięcy po ataku hakerskim na Kelp, Aave wciąż ma o 8 mld dolarów mniej
W chwili pisania tego tekstu depozyty na Aave wynosiły 18,1 mld dolarów, czyli około 31% mniej niż 26,1 mld dolarów, które zdeponowano na platformie dzień przed kwietniowym atakiem na Kelp, według danych DefiLlama.
Kod samego pożyczkodawcy nigdy nie zawiódł. Zawiodło zabezpieczenie stojące za jego pożyczkami — w miejscu, którego umowy pożyczkowe nie mogły zweryfikować.
Co tak naprawdę zepsuł atak na Kelp
18 kwietnia napastnicy zaatakowali sposób, w jaki most międzyłańcuchowy Kelp DAO weryfikował przychodzące komunikaty, a nie logikę pożyczkową. Kelp to protokół płynnego restakingu, a rsETH jest jego tokenem potwierdzającym.
Posiadacz rsETH nie posiada etheru. Ma roszczenie do stakowanego etheru, które najpierw przeszło przez most. Napastnicy zmanipulowali źródła danych, którym ufał most, i przesłali przez niego fałszywy komunikat. W rezultacie uwolniono 116 500 rsETH o wartości około 292 mln dolarów — blisko 18% podaży tego tokena — bez żadnego pokrycia.
Firma Halborn zajmująca się bezpieczeństwem ustaliła, że kradzież była możliwa z powodu konfiguracji z pojedynczym weryfikatorem i przejętych węzłów danych. Chainalysis powiązała napastników z północnokoreańską grupą Lazarus. Żaden smart kontrakt nie został złamany.
Niezabezpieczone tokeny trafiły następnie na rynki pożyczkowe. Napastnicy zdeponowali na Aave 89 567 rsETH i pożyczyli pod ich zastaw około 193 mln dolarów.
Aave zamroziło rsETH na 11 rynkach w ciągu godziny, a dwa dni później także WETH. Tego samego wieczoru BeInCrypto ostrzegło dostawców WETH na Aave, by wycofali środki — na kilka godzin przed osiągnięciem przez te pule pełnego wykorzystania.
„Inteligentne kontrakty Aave nie zostały naruszone na żadnym etapie tego zdarzenia. Cała logika protokołu, w tym mechanizmy dostarczania środków, spłaty i likwidacji, działała zgodnie z założeniami.”
W raporcie Aave dotyczącym incydentu oszacowano złe długi na 123,7 mln USD, zakładając równomierne rozłożenie strat. Po wyodrębnieniu mostkowanego rsETH kwota wzrosła do 230,1 mln USD.
Czemu ufają pożyczkobiorcy
Lukę pokryły konkurencyjne protokoły. Finansowany przez koalicję plan naprawczy zebrał deklaracje wpłat około 69 570 ETH wobec niedoboru wynoszącego 75 081 ETH.
Rada Bezpieczeństwa Arbitrum zamroziła 30 765 ETH z tych środków, a w czerwcu DAO uwolniło tę kwotę na rzecz Aave. Nad tymi pieniędzmi wciąż wisi nakaz sądowy w USA, o który wystąpili wierzyciele posiadający wyroki przeciwko Korei Północnej.
Deponenci wolniej wybaczają niż poprawia się bilans. Na koniec czerwca w Aave znajdowało się 12,5 mld USD, a w tym tygodniu — 18,1 mld USD. AAVE kosztuje około 124 USD, co oznacza spadek o 3,8% w ciągu dnia.
Taka sama struktura występuje też gdzie indziej. Wrapped Bitcoin i inne tokeny potwierdzające wpłatę sprawiają, że między pożyczkobiorcą a aktywem znajduje się dodatkowy pośrednik.
Przed użyciem któregokolwiek z nich jako zabezpieczenia warto sprawdzić trzy rzeczy.
- Ile niezależnych podmiotów musi zatwierdzić most tokena
- Czy rynek pożyczkowy jest odizolowany, czy dzieli straty z sąsiednimi rynkami
- Czy zabezpieczenie samo jest roszczeniem wobec innego roszczenia
Kwiecień nie dał pożyczkobiorcom, którzy utracili dostęp, odpowiedzi na żadne z tych pytań. Pokazał, jaką cenę płaci się za ich niezadawanie.
Źródło: BeInCrypto