Cinque mesi dopo l’attacco a Kelp, Aave è ancora sotto di 8 miliardi di dollari
Al momento della stesura, i depositi su Aave ammontavano a 18,1 miliardi di dollari, circa il 31% in meno rispetto ai 26,1 miliardi del giorno prima dell’hack di Kelp di aprile, secondo DefiLlama.
Il codice del prestatore non ha mai ceduto. A cedere è stato il collaterale a garanzia dei prestiti, in un ambito che quei contratti di prestito non potevano verificare.
Che cosa ha davvero compromesso l’hack di Kelp
Il 18 aprile, gli aggressori hanno preso di mira il modo in cui il bridge cross-chain di Kelp DAO verificava i messaggi in ingresso, non la sua logica di prestito. Kelp è un protocollo di liquid restaking e rsETH è il suo token rappresentativo.
Chi possiede rsETH non possiede ether: detiene un diritto su ether in staking, e quel diritto ha attraversato prima un bridge. Gli aggressori hanno manomesso i flussi di dati di cui il bridge si fidava e vi hanno fatto passare un messaggio falso. Così sono stati sbloccati 116.500 rsETH, per un valore di circa 292 milioni di dollari, quasi il 18% dell’offerta del token, senza alcuna copertura.
La società di sicurezza Halborn ha ricondotto il furto a una configurazione con un unico verificatore e a nodi dati compromessi. Chainalysis ha collegato gli aggressori al gruppo nordcoreano Lazarus. Nessun contratto è stato compromesso.
I token non coperti da garanzie sono poi finiti nei mercati di prestito. Gli aggressori hanno depositato 89.567 rsETH su Aave e preso in prestito circa 193 milioni di dollari a fronte di quei token.
Aave ha congelato rsETH in 11 mercati nel giro di un’ora e, due giorni dopo, ha congelato anche WETH. Quella stessa sera, ore prima che quei pool raggiungessero il pieno utilizzo, BeInCrypto ha avvertito i fornitori di liquidità di WETH su Aave di ritirare i fondi.
«Gli smart contract di Aave non sono stati compromessi in alcun momento durante questo evento. Tutta la logica del protocollo, inclusi i meccanismi di deposito, rimborso e liquidazione, ha continuato a funzionare come previsto.»
Nel rapporto sull’incidente, Aave ha stimato i crediti inesigibili a 123,7 milioni di dollari nell’ipotesi che le perdite fossero ripartite equamente. Considerando solo gli rsETH trasferiti tramite bridge, la cifra è salita a 230,1 milioni di dollari.
A cosa si affidano i mutuatari
I protocolli concorrenti hanno colmato il buco. Un piano di recupero finanziato da una coalizione ha raccolto promesse di contributi per circa 69.570 ETH, a fronte di un deficit di 75.081 ETH.
Il Security Council di Arbitrum ha congelato 30.765 ETH dei fondi, e a giugno la DAO ha sbloccato quella somma a favore di Aave. Sui fondi continua a incombere un’ordinanza di un tribunale statunitense, richiesta da creditori in possesso di sentenze contro la Corea del Nord.
I depositanti sono stati più lenti a perdonare di quanto non sia stato il bilancio. A fine giugno Aave custodiva 12,5 miliardi di dollari; questa settimana ne custodisce 18,1 miliardi. AAVE è scambiato intorno ai 124 dollari, in calo del 3,8% nella giornata.
La stessa struttura si ritrova altrove. Wrapped Bitcoin e altri token rappresentativi interpongono tutti qualcosa tra il mutuatario e l’asset.
Prima di usarli come garanzia, vale la pena verificare tre aspetti.
- Quante parti indipendenti devono approvare le operazioni sul bridge del token
- Se il mercato dei prestiti è isolato o condivide le perdite con i mercati vicini
- Se la garanzia è un credito su un altro credito
April non ha risposto a nessuna di quelle domande per i mutuatari che hanno perso l'accesso. Ha mostrato il costo del non porsele.
Fonte: BeInCrypto