DeFi на этот раз действительно получил серьезный тревожный звонок от взлома. В прошлом месяце уязвимость межцепочного моста Kelp DAO привела к краже почти 300 миллионов долларов, и это не только проблема отдельного протокола, а яркое проявление уязвимости всей экосистемы DeFi.

Событие произошло очень быстро. Хакеры, подделав межцепочное сообщение LayerZero, за короткое время успешно создали и перевели 116 500 rsETH, общие потери оцениваются в диапазоне от 292 до 294 миллионов долларов. Интересно, что злоумышленники заранее подготовили средства через Tornado Cash, и после примерно 10 часов скрытной деятельности они нанесли удар, что говорит о том, что взлом был тщательно спланирован, а не случайным.

Но по-настоящему страшная часть — это цепная реакция. Украденный rsETH быстро использовался в качестве залога для внесения на такие крупные платформы, как Aave, SparkLend, Fluid, злоумышленники взяли в долг большое количество ETH. Когда эти активы были помечены как утерянные, вся кредитная система мгновенно оказалась в кризисе. Aave пришлось срочно заморозить соответствующие рынки, но потенциальные риски невозврата уже проявились.

Это так называемый риск «Лего-конструкторов» в DeFi. Один протокол взломан — сразу затронуто десять платформ. Хотя Kelp DAO в течение 46 минут запустила аварийные механизмы, приостановив работу контрактов на нескольких цепочках, ущерб уже нанесен. В настоящее время злоумышленники обменяли около 250 миллионов долларов украденных активов на ETH, и движение средств стало еще сложнее отслеживать.

С технической точки зрения, уязвимость возникла в межцепочном мосте LayerZero OFT и в слое сообщений, а не в основном залоге Kelp DAO. Но это не означает, что ETH на основном блокчейне полностью безопасен — межцепочная ликвидность серьезно пострадала, и обернутый ETH на нескольких цепочках оказался в состоянии ликвидного кризиса.

Самое тревожное — из-за того, что событие произошло во время праздников, реакция многих платформ оказалась заметно медленной. В связи с выводом крупных залогов и обменом активов, возможно, еще больше платформ вынуждены будут приостановить вывод средств. Если у вас есть залоговые средства на DeFi-платформах, сейчас самое время подумать о переводе их в самоуправляемый кошелек.

ZachXBT и PeckShield — эти организации по безопасности продолжают отслеживать действия злоумышленников, расследование все еще ведется. Итоговые компенсационные планы и распределение ответственности еще не определены, эта история далеко не завершена. Развитие DeFi происходит намного быстрее, чем системы риск-менеджмента, и частые взломы — яркое проявление этого противоречия. Следите за официальными объявлениями Kelp DAO, следующая информация будет очень важной.