Эксплуатация Kelp DAO и моста LayerZero , произошедшая на выходных, оставила протокол кредитования Aave перед потенциальными убытками до $230 млн в зависимости от того, как будет разрешена ситуация.
Инцидент, согласно отчету от Aave Labs и сервисного провайдера LlamaRisk, опубликованному на форуме управления Aave, связан с rsETH — токеном жидкого рестейкинга, выпущенным KelpDAO. Для перемещения rsETH между блокчейнами протокол использует мостовой механизм, который блокирует токены на одной цепи, одновременно выпуская соответствующие копии на другой.
Злоумышленник воспользовался этой настройкой, подделав сообщение о переводе, которое выглядело действительным. Система одобрила перевод, хотя токены никогда не извлекались из отправляющей цепочки, что означало создание новых токенов без обеспечения и выпуск 116 500 rsETH с моста Ethereum.
Вместо продажи активов на открытом рынке атакующий внес 89 567 rsETH в Aave в качестве залога и занял примерно 190 миллионов долларов США в ETH и связанных активах на Ethereum и Arbitrum, согласно отчету. Это оставило Aave подверженным риску залога, обеспечение которого может быть значительно подорвано.
Aave Labs заявила, что быстро приняла меры для ограничения риска. В течение нескольких часов протокол заблокировал рынки rsETH во всех своих развертываниях, установил коэффициенты кредит-к-стоимости в ноль и остановил новые заимствования под этот актив.
Сейчас исход зависит в значительной степени от того, как Kelp справится с дефицитом. Если потери распределятся между всеми держателями rsETH, токен столкнется с оценочным отклонением на 15% (то есть стоимость застейких токенов не будет соответствовать стоимости реального ETH), что приведет к примерно $124 миллионам просроченной задолженности для Aave. Если же потери ограничатся только сетями Layer 2, влияние будет намного серьезнее: просроченная задолженность вырастет до примерно $230 миллионов и сосредоточится на таких сетях, как Arbitrum и Mantle.
Уязвимость возникла из-за слабостей в том, как Kelp проверял межцепочечные сообщения с помощью LayerZero. Манипулируя этим процессом, злоумышленник смог заставить определенные активы выглядеть полностью обеспеченными, хотя на самом деле они таковыми не были, что позволило ему извлечь ценность из системы. Сам LayerZero напрямую не был взломан, но его уровень сообщений раскрыл ошибочные допущения в том, как Kelp проверял межцепочечные данные.
Инцидент вызвал опасения, что некоторые позиции на Aave были обеспечены залогом, который был неправильно оценен или больше не полностью обеспечен, что увеличило риск недообеспеченных кредитов.
В ответ пользователи начали снижать экспозицию. После инцидента из Aave было выведено около 6 миллиардов долларов в виде общей заблокированной стоимости, что отражает широкий отток средств в ответ на неопределенность.
Эпизод подчеркнул его косвенную экспозицию внешним системам. Влияние ощутилось через рост риска залога, давление на позиции кредитования и резкое падение депозитов, поскольку пользователи переоценивали безопасность взаимосвязанной инфраструктуры DeFi.
В отчете говорится, что казна его DAO содержит примерно 181 млн долларов США в активах, и ведутся переговоры с участниками экосистемы по вопросу компенсации возможных потерь. Kelp пока не определил, как планирует распределить убытки, оставив окончательную экспозицию Aave неопределенной по мере развития ситуации.
Читать далее: Kelp DAO утверждает, что «стандартные» настройки LayerZero стали настоящей причиной масштабной катастрофы на $290 млн