Fünf Monate nach dem Kelp-Hack: Aave verzeichnet immer noch einen Rückgang von 8 Milliarden Dollar
Die Einlagen bei Aave belaufen sich derzeit auf 18,1 Milliarden Dollar, was etwa 31 % weniger ist als die 26,1 Milliarden Dollar, die vor dem Kelp-Hack im April verzeichnet wurden, wie aus Daten von DefiLlama hervorgeht.
Der Code von Aave selbst war nicht betroffen. Das Problem lag bei den Sicherheiten hinter den Krediten, die von den Kreditverträgen nicht überprüft werden konnten.
Was der Kelp-Hack tatsächlich beschädigte
Am 18. April griffen Angreifer die Art und Weise an, wie die Cross-Chain-Bridge von Kelp DAO eingehende Nachrichten überprüfte, nicht jedoch die Kreditlogik. Kelp ist ein Liquid-Restaking-Protokoll, und rsETH ist dessen Quittungstoken.
Ein rsETH-Inhaber besitzt kein Ether, sondern einen Anspruch auf gestaktes Ether, der zuerst eine Brücke überquert. Die Angreifer manipulierten die Datenfeeds, denen die Brücke vertraute, und schleusten eine gefälschte Nachricht hindurch. Dadurch wurden 116.500 rsETH im Wert von etwa 292 Millionen Dollar freigesetzt, was fast 18 % des Token-Angebots entspricht, ohne dass eine Deckung dahinterstand.
Das Sicherheitsunternehmen Halborn führte den Diebstahl auf ein Setup mit einem einzigen Verifizierer und gehackte Datenknoten zurück. Chainalysis verknüpfte die Angreifer mit der Lazarus-Gruppe aus Nordkorea. Kein Vertrag wurde gebrochen.
Die nicht gedeckten Token gelangten dann in die Kreditmärkte. Die Angreifer stellten 89.567 rsETH bei Aave bereit und liehen sich etwa 193 Millionen Dollar dagegen.
Aave fror rsETH innerhalb einer Stunde in 11 Märkten ein und zwei Tage später auch WETH. Aave warnte die WETH-Lieferanten, ihre Einlagen zurückzuziehen, bevor diese Pools vollständig ausgelastet waren.
„Aave’s smart contracts were not compromised at any point during this event. All protocol logic, including supply, repayment, and liquidation mechanisms, continued to function as designed.“
Der Vorfallbericht von Aave bezifferte die schlechten Schulden auf 123,7 Millionen Dollar, wenn die Verluste gleichmäßig verteilt würden. Die Isolierung des gebridgten rsETH erhöhte diesen Betrag auf 230,1 Millionen Dollar.
Worauf Kreditnehmer vertrauen
Rivalisierende Protokolle deckten das Defizit ab. Ein von einer Koalition finanzierter Wiederherstellungsplan sammelte etwa 69.570 ETH an Zusagen gegen ein Defizit von 75.081 ETH.
Der Sicherheitsrat von Arbitrum fror 30.765 ETH der Erlöse ein, und die DAO gab diesen Betrag im Juni an Aave frei. Ein US-Gerichtsbeschluss, der von Gläubigern mit Urteilen gegen Nordkorea angestrebt wurde, hängt weiterhin über dem Geld.
Einleger haben langsamer reagiert als die Bilanz. Aave hielt Ende Juni 12,5 Milliarden Dollar und in dieser Woche 18,1 Milliarden Dollar. Der AAVE-Token wird nahe 124 Dollar gehandelt, was einem Rückgang von 3,8 % am Tag entspricht.
Ähnliche Strukturen existieren auch anderswo. Wrapped Bitcoin und andere Quittungstoken platzieren ebenfalls etwas zwischen einem Kreditnehmer und dem Vermögenswert.
Drei Dinge sollten überprüft werden, bevor sie als Sicherheit eingesetzt werden:
- Wie viele unabhängige Parteien müssen die Brücke des Tokens genehmigen
- Ob der Kreditmarkt isoliert ist oder Verluste mit seinen Nachbarn teilt
- Ob die Sicherheit ein Anspruch auf einen anderen Anspruch ist
Im April wurden keine dieser Fragen für Kreditnehmer beantwortet, die den Zugang verloren. Es zeigte die Kosten auf, wenn man sie nicht stellt.
