Insättningar på Aave var 18,1 miljarder USD när detta skrevs, vilket är ungefär 31 % mindre än de 26,1 miljarder USD som fanns dagen innan aprils Kelp-hack, enligt DefiLlama.
Långivarens egen kod fungerade hela tiden. Det som inte fungerade var säkerheten bakom lånen, på en plats där låneavtalen inte kunde kontrollera det.
Vad Kelp-hacket faktiskt förstörde
Den 18 april riktade sig angripare mot hur Kelp DAO:s cross-chain-brygga kontrollerade inkommande meddelanden, inte utlåningslogiken. Kelp är ett protokoll för flytande åter-insättning och rsETH är dess kvitto-token.
En rsETH-innehavare äger inte ether. De har istället ett anspråk på insatt ether, och det krysser först en brygga. Angriparna förändrade dataflöden som bryggan litade på och skickade ett falskt meddelande igenom den. Det frigjorde 116 500 rsETH till ett värde av omkring 292 miljoner USD, nära 18 % av myntets totala mängd, utan säkerhet bakom.
Säkerhetsföretaget Halborn spårade stölden till en setup med en verifierare och kapade datanoder. Chainalysis har kopplat angriparna till Lazarus Group i Nordkorea. Inget kontrakt gick sönder.
De ogrundade token gick sedan in på utlåningsmarknaderna. Angriparna satte in 89 567 rsETH på Aave och lånade cirka 193 miljoner USD mot detta.
Aave frös rsETH i elva marknader inom en timme och frös även WETH två dagar senare. BeInCrypto varnade Aave WETH-användare samma kväll, timmar innan de poolerna blev fullt utnyttjade.
“Aave:s smarta kontrakt komprometterades aldrig under denna händelse. All protokollogik, inklusive inlåning, återbetalning och likvidationsmekanismer, fungerade som de skulle.”
Aave:s incidentrapport uppskattade dåliga lån till 123,7 miljoner USD om förlusterna fördelas jämnt. Om man isolerar den bryggade rsETH blev det 230,1 miljoner USD.
Vad låntagare litar på
Konkurrerande protokoll täckte förlusten. En återhämtningsplan finansierad av en koalition samlade cirka 69 570 ETH i löften mot ett underskott på 75 081 ETH.
Arbtrium säkerhetsråd fryste 30 765 ETH av intäkterna och dess DAO släppte det beloppet till Aave i juni. En amerikansk domstolsorder som begärts av borgenärer till Nordkorea hänger fortfarande över dessa pengar.
Insättare har varit långsammare att förlåta än balansräkningen. Aave hade 12,5 miljarder USD i slutet av juni och 18,1 miljarder USD denna vecka. AAVE handlas kring 124 USD, ned 3,8 % för dagen.
Samma struktur finns på andra håll. Wrapped Bitcoin och andra kvitto-token placerar alltid något mellan låntagare och tillgång.
Du bör kontrollera tre saker innan du använder någon av dessa som säkerhet.
- Hur många oberoende parter behöver godkänna tokenens brygga
- Om utlåningsmarknaden är isolerad eller delar förluster med andra marknader
- Om säkerheten är ett anspråk på ett annat anspråk
April gav inga svar på dessa frågor för låntagare som förlorade tillgången. Den visade kostnaden av att inte fråga i tid.
