🚨 Kelp DAO bị đánh cắp 292 ล้านดอลลาร์สหรัฐ, Aave ได้รับผลกระทบ #5PC เมื่อเช้านี้ (19/4) เวลาประมาณ 0:35 น. ตามเวลาเวียดนาม สัญญา bridge rsETH ของ Kelp DAO (โปรโตคอล liquid restaking อันดับสองที่ใหญ่ที่สุดหลัง https://t.co/4ePd4lro3h ที่สร้างบน LayerZero) ถูกแฮกเกอร์โจมตี ทำให้สูญเสีย rsETH 116,500 หน่วย ($292 ล้าน) แฮกเกอร์ถอน ETH 1 หน่วยจาก Tornado Cash เพื่อใช้เป็นค่าแก๊ส และยึดการควบคุม bridge (จากการวิเคราะห์เบื้องต้น เกิดจากการรั่วไหลของ private key) จากนั้นใช้คีย์ดังกล่าวปลอมคำสั่งโอนเงินผ่าน LayerZero และถอน rsETH 116,500 หน่วยทั้งหมดไปยังที่อยู่ของตนเอง สาเหตุที่การโจมตีประสบความสำเร็จอย่างง่ายดายคือ bridge นี้มีเพียงผู้ตรวจสอบเดียว (DVN 1/1) โดยไม่มีการตรวจสอบข้าม หลังจากนั้น แฮกเกอร์ยังพยายามถอน rsETH เพิ่มอีก 40,000 หน่วย (~$100 ล้าน) แต่ล้มเหลวเนื่องจาก Kelp ได้ระงับสัญญาทั้งหมดทันเวลา เนื่องจาก rsETH มีสภาพคล่องต่ำและไม่สามารถขายได้โดยตรง แฮกเกอร์จึงเลือกวิธีใช้ rsETH เป็นหลักประกันในโปรโตคอลการกู้ยืม เพื่อขอยืม wETH จนถึงเวลา 2:30 น. เช้านี้ (ตามเวลาเวียดนาม) หนี้รวมที่แฮกเกอร์สร้างขึ้นเกินกว่า $236 ล้าน: - Aave V3: $196 ล้าน - Compound V3: $39.4 ล้าน - Euler: $840,000 Aave ได้ระงับตลาด rsETH ทั้งบน V3 และ V4 โดยยืนยันว่าสัญญาของตนไม่ได้ถูกแฮก และรับปากว่าหากเกิดหนี้เสีย จะหาทางชดเชย ตามการประมาณการจาก Spark (คู่แข่งโดยตรงของ Aave) หาก rsETH ลดราคาลง 19% (rsETH ที่ถูกขโมยคิดเป็น 19% ของปริมาณรวม) Aave อาจเกิดหนี้เสียเกิน $100 ล้านจากกลยุทธ์การกู้ยืมแบบเลเวอเรจสูง ทั้ง $KERNEL และ $AAVE ต่างลดลงมากกว่า 10% หลังเหตุการณ์การถูกโจมตี