Инцидент с эксплойтом децентрализованной биржи Kelp DAO и моста LayerZero, произошедший на выходных, поставил протокол кредитования Aave перед потенциальными убытками до 230 миллионов долларов, в зависимости от того, как будет разрешена ситуация.
Инцидент, согласно отчету Aave Labs и поставщика услуг LlamaRisk, опубликованному на форуме управления Aave, связан с rsETH, ликвидным токеном рестейкинга, выпущенным KelpDAO. Для перемещения rsETH между блокчейнами протокол использует механизм моста, который блокирует токены в одной сети, одновременно выпуская соответствующие копии в другой.
Злоумышленник использовал эту схему, подделав сообщение о переводе, которое выглядело действительным. Система одобрила перевод, хотя токены так и не были выведены из отправляющей сети, что означает, что новые токены фактически были созданы без обеспечения, выпустив 116 500 rsETH из моста на стороне Ethereum.
Вместо того чтобы продавать активы на открытом рынке, злоумышленник внес 89 567 rsETH в Aave в качестве залога и занял примерно 190 миллионов долларов в ETH и связанных с ним активах на Ethereum и Arbitrum, согласно отчету. Это оставило Aave под риском залога, обеспечение которого может быть значительно снижено.
Aave Labs заявила, что действовала быстро, чтобы ограничить риск. В течение нескольких часов протокол заморозил рынки rsETH на всех своих развертываниях, установил коэффициенты кредитного плеча до нуля и приостановил новые займы под этот актив.
Исход теперь во многом зависит от того, как Kelp справится с дефицитом. Если убытки будут распределены между всеми держателями rsETH, токен столкнется с прогнозируемым снижением привязки на 15% (что означает, что стоимость заложенных токенов не будет соответствовать стоимости реального ETH), что приведет к примерно 124 миллионам долларов невозвратных долгов для Aave. Если убытки будут изолированы в сетях уровня 2, последствия будут гораздо более серьезными: невозвратные долги возрастут примерно до 230 миллионов долларов и будут сконцентрированы в сетях, таких как Arbitrum и Mantle.
Эксплуатация была вызвана слабостями в том, как Kelp проверял межсетевые сообщения с использованием LayerZero. Манипулируя этим процессом, злоумышленник смог создать видимость полной обеспеченности некоторых активов, хотя на самом деле это было не так, что позволило ему извлечь ценность из системы. Сам LayerZero не был напрямую взломан, но его слой обмена сообщениями выявил ошибочные предположения в том, как Kelp проверял межсетевые данные.
Инцидент вызвал опасения, что некоторые позиции в Aave были обеспечены залогом, который был неправильно оценен или больше не полностью обеспечен, что увеличивало риск не полностью обеспеченных займов.
В ответ пользователи предприняли шаги по снижению своей подверженности риску. Общая заблокированная стоимость в размере около 6 миллиардов долларов была выведена из Aave после инцидента, что отражает широкое отступление, поскольку участники реагировали на неопределенность.
Эпизод выявил его косвенную подверженность внешним системам. Воздействие проявилось в повышенном риске залога, давлении на кредитные позиции и резком снижении депозитов, поскольку пользователи переоценивали безопасность взаимосвязанной DeFi-инфраструктуры.
В отчете говорится, что казначейство DAO владеет примерно 181 миллионом долларов в активах, и что ведутся переговоры с участниками экосистемы для решения проблемы потенциальных убытков. Kelp еще не представила план распределения убытков, оставляя конечную подверженность Aave неопределенной, поскольку ситуация продолжает развиваться.
