block-chain24.com
Эксплойт моста между Kelp DAO и LayerZero, произошедший в выходные, привел к потенциальным убыткам для протокола кредитования Aave в размере до 230 000 000 долларов, в зависимости от того, как будет разрешена ситуация.
Согласно отчету Aave Labs и поставщика услуг LlamaRisk, опубликованному на форуме управления Aave, инцидент связан с ликвидным токеном rsETH для рестейкинга, который был выпущен KelpDAO. Для перемещения rsETH между блокчейнами протокол использует механизм моста, который блокирует токены в одном блокчейне, одновременно выпуская соответствующие копии в другой.
Злоумышленник воспользовался этой уязвимостью, подделав сообщение о переводе, которое выглядело действительным. Система одобрила перевод, хотя токены так и не были выведены из блокчейна отправителя, что фактически означало создание новых токенов без обеспечения, в результате чего было освобождено 116 500 rsETH из моста на стороне Ethereum.
Согласно отчету, вместо того чтобы продать активы на открытом рынке, злоумышленник внес 89 567 rsETH в Aave в качестве залога и занял примерно 190 000 000 долларов в $ETH и связанных активах на платформах Ethereum и Arbitrum. Это оставило Aave уязвимым перед залогом, обеспечение которого может быть значительно подорвано.
Aave Labs заявила, что быстро приняла меры для минимизации риска. В течение нескольких часов протокол заморозил рынки rsETH на всех своих платформах, обнулил коэффициенты кредитования и приостановил новые заимствования под залог актива.
Теперь исход во многом зависит от того, как Kelp справится с дефицитом. Если потери распределятся между всеми держателями rsETH, токен столкнется с предполагаемым снижением привязки к 15% (это означает, что стоимость токенов, помещенных в стекинг, не будет соответствовать стоимости реального $ETH), что приведет к убыткам Aave в размере около 124 000 000 долларов. Если же потери будут ограничены сетями уровня 2, последствия станут гораздо серьезнее: убытки вырастут примерно до 230 000 000 долларов и будут сосредоточены в таких сетях, как Arbitrum и Mantle.
Уязвимость возникла из-за недостатков в том, как Kelp проверяет кроссчейн-сообщения с помощью LayerZero. Манипулируя этим процессом, злоумышленник смог создать видимость полной обеспеченности определенных активов, когда это было не так, что позволило ему извлечь выгоду из системы. Сам LayerZero не был взломан напрямую, но его уровень обмена сообщениями выявил ошибочные предположения в том, как Kelp проверяет кроссчейн-данные.
Инцидент вызвал опасения, что некоторые позиции на Aave были обеспечены залогом, цена которого была занижена или который больше не был полностью обеспечен, что увеличило риск недообеспеченных кредитов. В ответ пользователи приняли меры по снижению рисков. После инцидента из Aave было выведено около 6 000 000 000 долларов заблокированных средств, что отражает общее снижение активности участников в связи с неопределенностью.
Этот эпизод выявил косвенную зависимость от внешних систем. Последствия ощущались в виде увеличения залогового риска, давления на позиции кредитования и резкого снижения депозитов, поскольку пользователи переоценили безопасность взаимосвязанной инфраструктуры DeFi.
В отчете говорится, что казначейство компании DAO располагает активами на сумму примерно 181 000 000 долларов и ведутся переговоры с участниками экосистемы о возможных убытках. Компания Kelp пока не изложила, как планирует распределить убытки, что оставляет неопределенной окончательную степень риска для Aave по мере развития ситуации.