Innskuddene på Aave var på $ 18,1 milliarder i skrivende stund, noe som er omtrent 31 % lavere enn de $ 26,1 milliarder plattformen hadde dagen før Kelps hack i april, ifølge DefiLlama.
Låneplattformens egen kode sviktet aldri. Det som sviktet var sikkerheten til sikkerheten bak lånene, i en sammenheng lånekontraktene ikke kunne kontrollere.
Hva Kelp-hacket faktisk ødela
18. april gikk angripere etter hvordan Kelp DAOs kjedebro sjekket innkommende meldinger, ikke utlånslogikken. Kelp er en liquid restaking-protokoll, og rsETH er dens kvitteringstoken.
En rsETH-innehaver eier ikke ether. De har et krav på staket ether, og det kravet krysset først en bro. Angriperne manipulerte data feeds broen stolte på og sendte en falsk melding gjennom den. Det frigjorde 116 500 rsETH til en verdi av omtrent $ 292 millioner, nær 18 % av tokenets totale tilbud, uten dekning bak seg.
Sikkerhetsfirmaet Halborn sporet tyveriet til en oppsett med én verifikator og kaprede datanoder. Chainalysis knyttet angriperne til Nord-Koreas Lazarus-gruppe. Ingen kontrakt ble brutt.
De udækkede tokenene gikk deretter inn i utlånsmarkedene. Angriperne leverte 89 567 rsETH til Aave og lånte omtrent $ 193 millioner med dette som sikkerhet.
Aave frøs rsETH på tvers av 11 markeder innen en time og frøs WETH to dager senere. BeInCrypto advarte Aave WETH-innskytere om å ta ut den samme kvelden, timer før disse poolene ble fullt utnyttet.
“Aaves smartkontrakter ble ikke kompromittert på noe tidspunkt under denne hendelsen. All protokoll-logikk, inkludert innskudd, tilbakebetaling og likvidasjonsmekanismer, fortsatte å fungere som designet.”
Aaves hendelsesrapport rapport beregnet dårlig gjeld til $ 123,7 millioner hvis tapene ble fordelt jevnt. Hvis bare den broede rsETH isoleres, økte det til $ 230,1 millioner.
Hva låntakere stoler på
Konkurrerende protokoller tettet hullet. En fellesskapsfinansiert gjenopprettingsplan samlet omtrent 69 570 ETH i løfter mot en mangel på 75 081 ETH.
Arbitrums Security Council frøs 30 765 ETH av midlene, og DAO-en friga dette beløpet til Aave i juni. En amerikansk rettskjennelse etterspurt av kreditorer med krav mot Nord-Korea hviler fortsatt over pengene.
Innskytere har vært tregere til å tilgi enn balansen. Aave hadde $ 12,5 milliarder ved utgangen av juni og $ 18,1 milliarder denne uken. AAVE handles nær $ 124, ned 3,8 % for dagen.
Den samme strukturen finnes andre steder. Wrapped Bitcoin og andre kvitteringstokener setter også noe mellom låntaker og aktiva.
Tre ting bør sjekkes før noen av disse legges inn som sikkerhet.
- Hvor mange uavhengige parter må signere av på tokenets bro
- Om utlånsmarkedet er isolert eller deler tap med naboliggende markeder
- Om sikkerheten er et krav på et annet krav
April ga ingen av de svarene til låntakerne som mistet tilgang. Det viste kostnaden ved å ikke spørre.
