Депозити в Aave на момент написання становили $18.1 billion, що приблизно на 31% нижче за $26.1 billion, які протокол утримував за день до квітневого зламу Kelp, за даними DefiLlama.

Власний код кредитора жодного разу не дав збою. Відмовила застава, що забезпечувала його позики, — причому в місці, яке кредитні контракти перевірити не могли.

Що насправді зламав злам Kelp

18 квітня зловмисники атакували не логіку кредитування, а механізм перевірки вхідних повідомлень у крос-чейн-мості Kelp DAO. Kelp — протокол ліквідного рестейкінгу, а rsETH — його токен-розписка.

Власник rsETH не володіє ефіром напряму. Він володіє правом вимоги на застейканий ефір, і ця вимога спершу пройшла через міст. Зловмисники скомпрометували дані, яким довіряв міст, і провели через нього підроблене повідомлення. Це вивільнило 116,500 rsETH на суму близько $292 million — майже 18% пропозиції токена — без жодного забезпечення за ними.

Компанія з безпеки Halborn простежила крадіжку до схеми з єдиним верифікатором та зламаних вузлів даних. Chainalysis пов'язала зловмисників із північнокорейським угрупованням Lazarus Group. Жоден контракт не був зламаний.

Незабезпечені токени потім потрапили на кредитні ринки. Зловмисники внесли 89,567 rsETH в Aave і позичили під них приблизно $193 million.

Aave заморозила rsETH у 11 ринках протягом години і заморозила WETH два дні по тому. BeInCrypto того ж вечора попередив постачальників WETH в Aave про необхідність вивести кошти — за кілька годин до того, як ці пули досягли повної утилізації.

«Смарт-контракти Aave не були скомпрометовані на жодному етапі цього інциденту. Вся логіка протоколу, включно з механізмами внесення, погашення та ліквідації, продовжувала працювати так, як і було задумано».

У звіті Aave про інцидент поганий борг оцінено у $123.7 million за рівномірного розподілу збитків. За виокремлення мостового rsETH сума зросла до $230.1 million.

Чому довіряють позичальники

Діру закрили конкуруючі протоколи. План відновлення, профінансований коаліцією, зібрав близько 69,570 ETH зобов'язань проти нестачі в 75,081 ETH.

Рада з безпеки Arbitrum заморозила 30,765 ETH із виручених коштів, і її DAO передало цю суму Aave в червні. Судовий наказ у США, якого домагаються кредитори з рішеннями проти Північної Кореї, все ще висить над цими грошима.

Вкладники прощають повільніше, ніж відновлюється баланс. Aave утримувала $12.5 billion наприкінці червня та $18.1 billion цього тижня. AAVE торгується близько $124, знизившись на 3.8% за день.

Та сама схема трапляється і в інших місцях. Wrapped Bitcoin та інші токени-розписки завжди ставлять щось між позичальником і активом.

Перш ніж вносити будь-який із них як заставу, варто перевірити три речі.

• Скільки незалежних сторін мають підтверджувати операції мосту токена
• Чи ізольований кредитний ринок, чи ділить збитки із сусідніми
• Чи є застава правом вимоги на інше право вимоги

Квітень не дав відповіді на жодне з цих питань для позичальників, які втратили доступ до коштів. Він показав ціну того, що питання не були поставлені.

Source: BeInCrypto