Aave заявляет, что операции возобновились в нормальном режиме после того, как $300M Backstop заменил выведенные активы

Децентрализованный протокол DeFi Aave недавно сообщил, что полностью восстановил ликвидность в своих кредитных пулах после межсетевого эксплойта на 300 миллионов долларов.

Разбор эксплойта

Децентрализованный протокол DeFi Aave, один из пионеров в сфере, успешно восстановил полную ликвидность в кредитных пулах, завершив агрессивную стабилизационную кампанию, длившуюся несколько недель, после межсетевого эксплойта на 300 миллионов долларов, который поставил под угрозу денежные резервы протокола, сообщили разработчики 1 июня.

В своем пост‑мортеме Aave заявил, что, задействовав отраслевой фонд спасения на 300 миллионов долларов и добившись экстренного федерального судебного приказа, он смог заменить выведенные активы, защитить вкладчиков от потерь и вернуть нормальные операции «заимствование‑кредитование» по всему протоколу.

Публикация пост‑мортема появилась более чем через месяц после того, как злоумышленник воспользовался сторонним мостом, который работает через Kelp и Layerzero. Подделав межсетевые сообщения, хакер отчеканил 116 500 поддельных токенов rsETH и внес их в платформу Aave V3 в качестве обеспечения.

Сразу же атакующий использовал фальшивый rsETH как обеспечение, чтобы выкачать высоколиквидные активы: он занял 82 650 wrapped ethereum (WETH) и 821 wrapped staked ethereum (wstETH). Внезапный массовый вывод средств структурно ослабил ключевые пулы ликвидности Aave, вынудив менеджеров по рискам заморозить затронутые рынки, чтобы предотвратить каскадный «набег» на капитал платформы.

Чтобы закрыть дыру, Aave Labs помогла мобилизовать экстренную коалицию крупных участников отрасли, включая Lido, Ether.fi, Ethena и Compound. Вместе группа сформировала фонд восстановления на 300 миллионов долларов. Эта вливание капитала фактически подстраховала скомпрометированные активы rsETH, гарантировав, что каждый доллар пользовательских депозитов остается полностью обеспеченным подлинными резервами.

Разморозка капитала

Однако путь к восстановлению ликвидности столкнулся с юридическим препятствием 1 мая, когда кредиторы по решению в не связанном федеральном деле перехватили процесс восстановления. Кредиторы получили уведомление о запрете, которое заморозило примерно $71 миллиона в ethereum, выведенных обратно у атакующего, и которые должны были пополнить пулы Aave.

Aave отреагировал подачей экстренного ходатайства в федеральный суд США 4 мая, и спустя четыре дня судья удовлетворил ключевую модификацию запрета, разрешив незамедлительно перевести $71 миллиона обратно в прямое управление Aave. Это юридическое прорыв позволило разработчикам сразу направить средства обратно в активные кредитные пулы протокола, восстановив глубину ликвидности, необходимую для безопасной работы рынков.

После полного пополнения капитальных резервов и возврата параметров рынков к значениям до эксплойта Aave проводит перестройку своей архитектуры рисков, чтобы защитить ликвидность от будущих системных сбоев третьих сторон.

Чтобы предотвратить будущих злоумышленников от конвертации эксплойтнутых токенов в ликвидные активы протокола, разработчики Aave выполнили 295 отдельных обновлений параметров, существенно сократив лимиты заимствования и предложения на 168 отдельных пулов активов.

Кроме того, протокол внедряет автоматический LTV0 (loan-to-value zero) автоматический предохранитель. Дальше, если в межсетевой инфраструктуре какого-либо актива произойдет нарушение безопасности, система мгновенно лишит этот актив его обеспечительной стоимости. Это гарантирует, что скомпрометированные токены больше не смогут использоваться для заимствований или вывода подлинной ликвидности из рынков Aave.