Indskud på Aave udgør I øjeblikket 18,1 milliarder dollars, hvilket er omtrent 31% under de 26,1 milliarder dollars, der stod på platformen dagen før Kelps hack i april, ifølge DefiLlama.
Låneudbyderens egen kode fejlede aldrig. Det, der svigtede, var sikkerheden bag lånene – et område, som lånekontrakterne ikke kunne kontrollere.
Hvad Kelp-hacket faktisk ødelagde
Den 18. april gik angribere målrettet efter, hvordan Kelp DAOs globale bro tjekkede indgående beskeder, snarere end dens lånelogik. Kelp er et liquid restaking-protokol, og rsETH er deres kvitteringstoken.
En rsETH-holder ejer ikke ether direkte. De har blot et krav på staket ether, og det krav krydsede først en bro. Angriberne manipulerede datafeeds, som broen havde tillid til, og sendte en falsk besked igennem. Det frigav 116.500 rsETH – svarende til ca. 292 millioner dollars og næsten 18% af tokenets samlede udbud – helt uden dækning bag.
Sikkerhedsfirmaet Halborn sporede tyveriet til en opsætning med kun én verifier og kaprede datanoder. Chainalysis linkede angrebet til Lazarus-gruppen fra Nordkorea. Ingen kontrakt blev brudt.
Efterfølgende blev de udækkede tokens ført ind på lånemarkederne. Angriberne satte 89.567 rsETH ind på Aave og lånte for omkring 193 millioner dollars mod dem.
Aave frøs rsETH på tværs af 11 markeder i løbet af en time og frøs WETH to dage senere. BeInCrypto advarede Aave WETH-leverandører om at trække midler ud samme aften – få timer før disse puljer nåede fuld udnyttelse.
“Aaves smart contracts blev ikke kompromitteret på noget tidspunkt under denne hændelse. Al protokollogik – herunder udlån, tilbagebetaling og afviklingsmekanismer – fungerede som designet.”
Aaves incident report estimerede dårlige lån til 123,7 millioner dollars, hvis tabene blev fordelt ligeligt. Ved at isolere den brogede rsETH steg det til 230,1 millioner dollars.
Hvad låntagere egentlig stoler på
Konkurrerende protokoller dækkede hullet. En genopretningsplan finansieret af en koalition samlede ca. 69.570 ETH i tilsagn ud af et underskud på 75.081 ETH.
Arbitrums Security Council frøs 30.765 ETH fra gevinsten, og deres DAO udbetalte dette beløb til Aave i juni. En amerikansk retskendelse, fremskaffet af kreditorer med domme mod Nordkorea, truer dog stadig pengene.
Indskydere er dog langsommere til at tilgive end balancen. Aave havde 12,5 milliarder dollars ved udgangen af juni og 18,1 milliarder dollars i denne uge. AAVE handles nær 124 dollars, et fald på 3,8% på dagen.
Samme struktur findes andre steder. Wrapped Bitcoin og andre kvitteringstokens placerer altid et led mellem låntager og aktiv.
Tre ting bør undersøges, inden du bruger sådan et token som sikkerhed:
- Hvor mange uafhængige aktører skal godkende tokenets bro
- Om lånemarkedet er isoleret, eller tab kan deles med andre markeder
- Om sikkerheden bygger på krav til et andet krav
April gav ingen svar for låntagere, der mistede adgang til deres midler. Det illustrerede omkostningen ved ikke at spørge.
