Депозиты в Aave на момент написания составляли $18.1 billion, что примерно на 31% ниже $26.1 billion, которые протокол удерживал за день до апрельского взлома Kelp, по данным DefiLlama.
Собственный код кредитора ни разу не дал сбоя. Отказал залог, обеспечивающий его займы, — причём в месте, которое кредитные контракты проверить не могли.
Что на самом деле сломал взлом Kelp
18 апреля злоумышленники атаковали не логику кредитования, а механизм проверки входящих сообщений в кроссчейн-мосте Kelp DAO. Kelp — протокол ликвидного рестейкинга, а rsETH — его токен-расписка.
Держатель rsETH не владеет эфиром напрямую. Он владеет правом требования на застейканный эфир, и это требование сначала прошло через мост. Злоумышленники скомпрометировали данные, которым доверял мост, и провели через него поддельное сообщение. Это высвободило 116,500 rsETH на сумму около $292 million — почти 18% предложения токена — без какого-либо обеспечения за ними.
Компания по безопасности Halborn проследила кражу до схемы с единственным верификатором и взломанных узлов данных. Chainalysis связала злоумышленников с северокорейской Lazarus Group. Ни один контракт не был взломан.
Необеспеченные токены затем попали на кредитные рынки. Злоумышленники внесли 89,567 rsETH в Aave и заняли под них примерно $193 million.
Aave заморозила rsETH в 11 рынках в течение часа и заморозила WETH два дня спустя. BeInCrypto в тот же вечер предупредил поставщиков WETH в Aave о необходимости вывести средства — за несколько часов до того, как эти пулы достигли полной утилизации.
«Смарт-контракты Aave не были скомпрометированы ни на одном этапе этого инцидента. Вся логика протокола, включая механизмы внесения, погашения и ликвидации, продолжала работать так, как и было задумано».
В отчёте Aave об инциденте плохой долг оценён в $123.7 million при равномерном распределении убытков. При выделении мостового rsETH отдельно сумма выросла до $230.1 million.
Чему доверяют заёмщики
Дыру закрыли конкурирующие протоколы. План восстановления, профинансированный коалицией, собрал около 69,570 ETH обязательств против недостачи в 75,081 ETH.
Совет по безопасности Arbitrum заморозил 30,765 ETH из вырученных средств, и его DAO передало эту сумму Aave в июне. Судебный приказ в США, которого добиваются кредиторы с решениями против Северной Кореи, всё ещё висит над этими деньгами.
Вкладчики прощают медленнее, чем восстанавливается баланс. Aave удерживала $12.5 billion на конец июня и $18.1 billion на этой неделе. AAVE торгуется около $124, снизившись на 3.8% за день.
Та же схема встречается и в других местах. Wrapped Bitcoin и другие токены-расписки всегда ставят нечто между заёмщиком и активом.
Прежде чем вносить любой из них в качестве залога, стоит проверить три вещи.
- Сколько независимых сторон должны подтверждать операции моста токена
- Изолирован ли кредитный рынок или делит убытки с соседними
- Является ли залог правом требования на другое право требования
Апрель не дал ответа ни на один из этих вопросов для заёмщиков, потерявших доступ к средствам. Он показал цену того, что вопросы не были заданы.
Source: BeInCrypto
