Взлом Kelp DAO на сумму 292 миллиона долларов вызвал волну реакции во всей криптоиндустрии: разработчики и трейдеры предупреждают, что этот инцидент обнажил глубокие недостатки в архитектуре децентрализованных финансов (DeFi).
Данные, предоставленные участниками рынка, показывают, что немедленные последствия распространились далеко за пределы взломанного протокола.
«Взлом rsETH приводит к выводу средств из всех протоколов кредитования, даже на Solana и в незатронутых протоколах», — написал 0xngmi в воскресенье, указав на резкий отток средств, включая «Aave: -6 200 млн (-23%) чистый приток» и менее значительные, но заметные снижения в Morpho, Sky и JupLend. rsETH — это эфир в ликвидном рестейкинге протокола Kelp DAO; это токен ликвидного рестейкинга (LRT), который позволяет пользователям получать вознаграждения за стейкинг и рестейкинг эфира, сохраняя при этом ликвидность своих активов, даже когда они заблокированы в стейкинге.
Это давление быстро переросло в нечто более серьезное. В широко разошедшемся посте Хосу Сан-Мартин описал каскадный кризис ликвидности на кредитных рынках: «Депозиторы ETH не могут вывести ETH, поэтому они занимают стейблкоины, чтобы "вывести" средства… Это полноценный набег на AAVE».
Хотя Стани Кулешов, основатель Aave, заявил, что взлом был внешним и контракты протокола не были скомпрометированы, вкладчики поддались панике. Согласно данным DefiLlama, общая заблокированная стоимость (TVL) упала с 26,4 млрд долларов 18 апреля до почти 20 млрд долларов к утру воскресенья по американскому времени. Токен AAVE также упал более чем на 18%, так как вкладчики спешили вывести свои деньги в течение выходных.
Сам эксплойт стал центром внимания инженеров и разработчиков.
Несколько разработчиков опровергли ранние предположения о том, что проблема возникла в базовой инфраструктуре. «Взлом KelpDAO (~$290 млн) НЕ является багом протокола LayerZero. Это проблема конфигурации и тематическое исследование, которое сегодня должен изучить каждый проект с кроссчейн-токеном», — говорится в техническом анализе от cryptogoblin.
В треде подробно описывалось, как одна точка верификации сделала атаку возможной. «Одна подпись — и 116 500 rsETH материализовались из ниоткуда в сети Ethereum», — говорилось в посте, описывающем систему, где «[смарт-]контракты не были сломаны. Был сломан уровень верификации».
Другие утверждали, что проблема глубже, чем просто выбор настроек.
Один критик под псевдонимом Fishy Catfish в X назвал это недостатком дизайна, утверждая: «Здесь нет порога безопасности… Конфигурация может представлять собой DVN 1/1, и выбранная вами DVN может быть единственным узлом, управляемым одной организацией». DVN (Decentralized Verifier Network) в DeFi, в частности в LayerZero V2, — это независимая сущность, ответственная за проверку и подтверждение подлинности сообщений, отправляемых между различными блокчейн-сетями. По сути, DVN проверяют хэши сообщений между исходной и целевой цепями.
Чтобы прояснить ситуацию, автор привел сравнение из реального мира: «Представьте, если бы производитель американских горок позволил паркам развлечений самостоятельно решать, какими должны быть минимальные характеристики безопасности». По сути, автор говорит о том, что гибкость без защитных барьеров может создавать скрытые риски.
В посте даже утверждалось, что сама концепция дизайна является проблемой. «Я лично считаю, что это ошибочный дизайн. Модульная безопасность — это стоящее направление, однако диапазон безопасности должен иметь достаточно сильный нативный порог, а затем позволять накладывать дополнительные уровни безопасности для более ценных сценариев использования».
Не только сумма и сложность взлома вызвали резкую паническую критику. Масштаб эксплойта усилил опасения.
Пострадало около 116 500 rsETH, что составляет примерно 18% предложения. Злоумышленник обманом заставил уровень обмена сообщениями LayerZero поверить в то, что из другой сети пришла валидная инструкция, что заставило мост Kelp выпустить 116 500 rsETH на адрес, контролируемый хакером.
Протоколы отреагировали заморозкой рынков и приостановкой функций. Aave приостановил активность rsETH. Lido приостановил депозиты, связанные с этим активом. Другие проекты предприняли аналогичные шаги, чтобы ограничить риски по мере развития ситуации.
Помимо технических споров, настроения в криптосообществе резко ухудшились. Один пост, возможно, передал смену настроения в резких тонах: «DeFi мертв… фраза "просто используй aave" мертва», добавив, что «эра крипты закончилась» и задав вопрос: «Если вы это читаете — почему вы все еще в крипте?»
Хотя такая реакция может показаться чрезмерной, подобные «коленные» рефлексы не редкость после крупных взломов, но масштаб этого события выделяется на общем фоне.
Атака одновременно затронула кроссчейн-инфраструктуру, модели рестейкинга и кредитные рынки. Это также произошло после череды недавних инцидентов. Взлом случился в необычно враждебный для DeFi период, особенно в этом месяце. 1 апреля протокол бессрочных контрактов на базе Solana Drift потерял около 285 миллионов долларов в результате атаки, которую позже связали с субъектами, аффилированными с Северной Кореей, и по меньшей мере дюжина более мелких протоколов были взломаны в последующие недели, включая CoW Swap, Zerion, Rhea Finance и Silo Finance.
Несмотря на все объяснения, вопросов по-прежнему больше, чем ответов.
Даже LayerZero все еще пытается выяснить все детали взлома. «Мы полностью осведомлены об эксплойте rsETH и активно занимаемся устранением последствий вместе с командой @KelpDAO с момента инцидента и продолжаем мониторинг. Все остальные приложения остаются в безопасности», — говорится в сообщении в X. «Мы все еще устанавливаем первопричину вместе с @_SEAL_Org и другими. Мы опубликуем полный отчет о вскрытии (post-mortem) вместе с @KelpDAO, как только получим всю информацию».
KelpDAO поддержала это мнение: «Ранее сегодня мы выявили подозрительную кроссчейн-активность, связанную с rsETH. Мы приостановили контракты rsETH в основной сети и нескольких L2-сетях на время расследования. Мы работаем с @LayerZero_Core, @unichain, нашими аудиторами и ведущими экспертами по безопасности над анализом первопричин (RCA). Мы будем держать вас в курсе по мере получения новой информации».
Тем не менее, некоторые разработчики видят в этом хаосе четкий урок.
Взлом не основывался на взломе шифрования или обходе смарт-контрактов. Вместо этого он показал, насколько хрупкими могут стать системы, когда они зависят от многослойных допущений.
Проще говоря, инструменты работали так, как было задумано. Но то, как они были настроены, — нет.
Это различие может определить дальнейшее развитие событий. Разработчики теперь призывают проекты пересмотреть свои настройки, особенно те, которые полагаются на кроссчейн-сообщения.
Как прямо выразился cryptogoblin: «Проверьте свои конфигурации. Берегите себя».
Читать далее: Доходность DeFi падает так сильно, что не может конкурировать с традиционным сберегательным счетом.
Еще для вас:
Шансы благоприятствуют усилению позиций демократов в Конгрессе в следующем году, когда законодатели, начавшие преследование таких фирм, как Kalshi и Polymarket, могут получить большее влияние.
Что нужно знать: