Депозити на Aave становили $18,1 млрд станом на момент написання, що приблизно на 31% менше за $26,1 млрд, які протокол утримував перед хакам Kelp у квітні, згідно з даними DefiLlama.
Власний код кредитного протоколу Aave не зазнавав збоїв. Уразливість виникла на рівні забезпечення для виданих кредитів ― у тій площині, яку смартконтракти не були здатні перевіряти.
Що насправді порушив хак Kelp
18 квітня зловмисники атакували систему перевірки вхідних повідомлень кросчейн-моста протоколу Kelp DAO, а не логіку кредитування. Kelp діє як протокол ліквідного рестейкінгу, а токен rsETH є розпискою щодо застейканих ефірів (ETH).
Власник rsETH не володіє ефіром напряму. Йому належить вимога щодо застейканого ETH, але спершу така вимога потрапила до мережі через міст. Зловмисники скомпрометували інформаційні потоки, якими керував міст, і вкинули підроблене повідомлення; це призвело до випуску 116 500 rsETH номіналом $292 млн — майже 18% від загальної емісії токена — без будь-якого забезпечення.
Експерти із Halborn встановили, що атаці сприяла архітектура з єдиним валідатором і скомпрометовані дата-ноди. Chainalysis пов’язала інцидент із Lazarus Group, яка діє під контролем Північної Кореї. Жоден смартконтракт не було порушено.
Незабезпечені токени були розміщені у кредитних протоколах. Зловмисники внесли 89 567 rsETH до Aave та взяли позику на суму приблизно $193 млн під це забезпечення.
Aave заморозив rsETH у 11 ринках протягом однієї години, а WETH заблокував через два дні. Редакція BeInCrypto закликала постачальників WETH вивести кошти того ж вечора, за декілька годин до повної завантаженості відповідних пулів.
«Смартконтракти Aave не було скомпрометовано жодного разу під час цього інциденту. Вся логіка протоколу, включаючи supply, погашення кредиту й механізми ліквідації, працювала відповідно до початкового задуму».
У звіті Aave про інцидент фіксується, що обсяг поганого боргу становив $123,7 млн при рівномірному розподілі втрат; якщо ізолювати міст із rsETH, показник зростає до $230,1 млн.
Що фактично є обʼєктом довіри для позичальників
Збитки були відшкодовані іншими протоколами. Колективний план відновлення зібрав близько 69 570 ETH у вигляді зобов’язань до покриття дефіциту у 75 081 ETH.
Security Council Arbitrum заморозила 30 765 ETH із вилучених активів, а DAO платформи передав ці кошти Aave в червні. Однак судова постанова США, ініційована кредиторами із судовими рішеннями проти Північної Кореї, досі встановлює обмеження на ці активи.
Депоненти відновили довіру не так швидко, як баланс. На кінець червня на протоколі утримувалося $12,5 млрд, цього тижня показник виріс до $18,1 млрд. AAVE торгується близько $124, що на 3,8% менше станом на сьогодні.
Аналогічна архітектура притаманна й іншим токенам-розпискам, наприклад wrapped Bitcoin: завжди існує проміжна ланка між позичальником і суто активом.
Перед внесенням таких токенів у якості забезпечення варто перевірити кілька моментів.
- Скільки незалежних сторін повинні підтвердити транзакцію через міст токена
- Чи є кредитний ринок ізольованим, або ж поділяє ризики та збитки з іншими сегментами
- Чи є забезпеченням вимога на іншу вимогу (тобто чи не є це лише похідним правом на актив)
Квітневий інцидент не залишив для постраждалих боржників жодної відповіді на ці базові питання. Ціна незапитаного — втрачений доступ.
