Die Einlagen auf Aave lagen zum Zeitpunkt dieses Artikels bei 18,1 Milliarden USD, laut DefiLlama etwa 31% unter dem Stand von 26,1 Milliarden USD am Tag vor dem Kelp-Hack im April.
Der Code von Aave hat nie versagt. Es gab jedoch Probleme mit den Sicherheiten hinter den Krediten, die von den Smart Contracts nicht überprüft werden konnten.
Was der Kelp-Hack tatsächlich verursacht hat
Am 18. April griffen Angreifer die Überprüfung eingehender Nachrichten an, welche die Blockchain-Brücke von Kelp DAO nutzte, jedoch nicht die Logik für das Verleihen. Kelp ist ein Liquid-Restaking-Protokoll und rsETH ist sein Beleg-Token.
Ein rsETH-Halter besitzt kein Ether. Die Halter haben einen Anspruch auf gestaketen Ether, der jedoch zuerst über eine Brücke gelaufen ist. Die Angreifer manipulierten die Datenquellen, denen die Brücke vertraute, und schickten eine gefälschte Nachricht durch. So wurden 116.500 rsETH freigesetzt, etwa 292 Millionen USD und ungefähr 18% des Token-Bestands, ohne tatsächliche Deckung.
Das Sicherheitsunternehmen Halborn führte den Diebstahl auf eine einzelne Prüfinstanz und übernommene Datenknoten zurück. Chainalysis brachte die Angreifer mit der Lazarus-Gruppe aus Nordkorea in Verbindung. Keiner der Smart Contracts wurde manipuliert.
Die nicht gedeckten Token gelangten anschließend in Kreditmärkte. Die Angreifer hinterlegten 89.567 rsETH bei Aave und liehen dafür etwa 193 Millionen USD.
Aave sperrte rsETH in 11 Märkten innerhalb einer Stunde und frierte WETH zwei Tage später ein. BeInCrypto warnte Aave-WETH-Lieferanten, ihre Coins am selben Abend abzuziehen, nur wenige Stunden bevor die Pools vollständig ausgelastet waren.
„Die Smart Contracts von Aave wurden während dieses Vorfalls zu keinem Zeitpunkt kompromittiert. Die gesamte Protokoll-Logik, einschließlich Bereitstellung, Rückzahlung und Liquidationsmechanismen, hat weiterhin wie vorgesehen funktioniert.”
Der Vorfallbericht von Aave schätzte die faulen Kredite auf 123,7 Millionen USD, wenn die Verluste gleichmäßig verteilt würden. Unter Ausschluss der Infrastruktur von rsETH lagen die Verluste bei 230,1 Millionen USD.
Worauf Kreditnehmer vertrauen
Konkurrenzprotokolle schlossen die Lücke. Ein gemeinschaftlich finanzierter Rettungsplan sammelte etwa 69.570 ETH an Zusagen bei einem Fehlbetrag von 75.081 ETH.
Das Security Council von Arbitrum sperrte 30.765 ETH der Erlöse, und die DAO gab diese Summe im Juni an Aave frei. Ein US-Gerichtsbeschluss, den Gläubiger mit Urteilen gegen Nordkorea erwirkt hatten, betrifft das Geld weiterhin.
Einleger haben langsamer vergeben als die Bilanz. Aave hielt Ende Juni 12,5 Milliarden USD und in dieser Woche 18,1 Milliarden USD. AAVE liegt bei etwa 124 USD, ein Rückgang von 3,8% am Tag.
Solche Strukturen finden sich auch anderswo. Wrapped Bitcoin und andere Beleg-Token stellen immer ein Element zwischen Kreditnehmer und Vermögenswert.
Vor dem Einsatz als Sicherheit sollten drei Punkte überprüft werden.
- Wie viele unabhängige Parteien bestätigen Vorgänge auf der Blockchain-Brücke des Tokens?
- Ist der Kreditmarkt isoliert oder teilt er Verluste mit anderen Märkten?
- Handelt es sich bei der Sicherheit um einen Anspruch auf einen weiteren Anspruch?
Im April bekamen die Kreditnehmer, die den Zugang verloren, auf keine dieser Fragen eine Antwort. Das zeigt, wie teuer es sein kann, nicht zu fragen.
