Депозиты в Aave на момент написания составляли $18.1 billion, что примерно на 31% ниже $26.1 billion, которые протокол удерживал за день до апрельского взлома Kelp, по данным DefiLlama.

Собственный код кредитора ни разу не дал сбоя. Отказал залог, обеспечивающий его займы, — причём в месте, которое кредитные контракты проверить не могли.

Что на самом деле сломал взлом Kelp

18 апреля злоумышленники атаковали не логику кредитования, а механизм проверки входящих сообщений в кроссчейн-мосте Kelp DAO. Kelp — протокол ликвидного рестейкинга, а rsETH — его токен-расписка.

Держатель rsETH не владеет эфиром напрямую. Он владеет правом требования на застейканный эфир, и это требование сначала прошло через мост. Злоумышленники скомпрометировали данные, которым доверял мост, и провели через него поддельное сообщение. Это высвободило 116,500 rsETH на сумму около $292 million — почти 18% предложения токена — без какого-либо обеспечения за ними.

Компания по безопасности Halborn проследила кражу до схемы с единственным верификатором и взломанных узлов данных. Chainalysis связала злоумышленников с северокорейской Lazarus Group. Ни один контракт не был взломан.

Необеспеченные токены затем попали на кредитные рынки. Злоумышленники внесли 89,567 rsETH в Aave и заняли под них примерно $193 million.

Aave заморозила rsETH в 11 рынках в течение часа и заморозила WETH два дня спустя. BeInCrypto в тот же вечер предупредил поставщиков WETH в Aave о необходимости вывести средства — за несколько часов до того, как эти пулы достигли полной утилизации.

«Смарт-контракты Aave не были скомпрометированы ни на одном этапе этого инцидента. Вся логика протокола, включая механизмы внесения, погашения и ликвидации, продолжала работать так, как и было задумано».

В отчёте Aave об инциденте плохой долг оценён в $123.7 million при равномерном распределении убытков. При выделении мостового rsETH отдельно сумма выросла до $230.1 million.

Чему доверяют заёмщики

Дыру закрыли конкурирующие протоколы. План восстановления, профинансированный коалицией, собрал около 69,570 ETH обязательств против недостачи в 75,081 ETH.

Совет по безопасности Arbitrum заморозил 30,765 ETH из вырученных средств, и его DAO передало эту сумму Aave в июне. Судебный приказ в США, которого добиваются кредиторы с решениями против Северной Кореи, всё ещё висит над этими деньгами.

Вкладчики прощают медленнее, чем восстанавливается баланс. Aave удерживала $12.5 billion на конец июня и $18.1 billion на этой неделе. AAVE торгуется около $124, снизившись на 3.8% за день.

Та же схема встречается и в других местах. Wrapped Bitcoin и другие токены-расписки всегда ставят нечто между заёмщиком и активом.

Прежде чем вносить любой из них в качестве залога, стоит проверить три вещи.

• Сколько независимых сторон должны подтверждать операции моста токена
• Изолирован ли кредитный рынок или делит убытки с соседними
• Является ли залог правом требования на другое право требования

Апрель не дал ответа ни на один из этих вопросов для заёмщиков, потерявших доступ к средствам. Он показал цену того, что вопросы не были заданы.

Source: BeInCrypto