Останнім часом у екосистемі DeFi спалахнула досить серйозна вразливість безпеки, я переглянув відповідні дані, і вплив цієї події виявився ширшим, ніж я міг уявити.

Мост Kelp DAO між ланцюгами був атакований хакерами наприкінці квітня, внаслідок чого було вкрадено від 292 до 294 мільйонів доларів, що є найбільшим за масштабом безпековим інцидентом у сфері DeFi цього року. Хакери шляхом підробки міжланцюгових повідомлень одноразово викрали 116 500 rsETH, а згодом намагалися вивести ще 80 000, але були зупинені через тимчасове припинення контракту Kelp DAO.

Ще більш тривожним є те, що ця атака спричинила ефект доміно. Хакери використали викрадені rsETH як заставу, щоб позичати великі обсяги WETH і ETH у провідних кредитних протоколах Aave, SparkLend, Fluid. Як тільки rsETH було позначено як актив із підозрою, ці платформи одразу опинилися перед величезними збитками. Aave швидко реагував, заморожуючи ринки rsETH на V3 і V4, але збитки інших платформ уже були неминучі.

Корінь цієї проблеми полягає у вразливості мосту між ланцюгами, побудованого на LayerZero. Хакери спершу використовували Tornado Cash для підготовки коштів, чекали близько 10 годин, а потім застосували функцію lzReceive для активації вразливості. Цікаво, що атака сталася у святковий період, коли реакція платформ була значно повільнішою, що ще раз підкреслює слабкі місця у системі реагування DeFi.

Я помітив, що ця подія добре ілюструє ризики «конструкторських» підходів — вразливість одного міжланцюгового моста може миттєво вплинути на всю екосистему. Зараз хакери вже обміняли близько 250 мільйонів доларів викрадених токенів на ETH, і рух коштів вже простежується на блокчейні.

Реакція Kelp DAO була досить швидкою — за 46 хвилин вони активували аварійний режим, припинили роботу контрактів rsETH на основній мережі Ethereum та кількох L2, а також об’єднали зусилля з LayerZero і компаніями з безпеки для розслідування. Однак міжланцюгова ліквідність вже зазнала серйозних ушкоджень, і токени wrapped ETH на кількох ланцюгах опинилися у скрутному становищі.

Що стосується користувачів, які тримають свої кошти на платформах DeFi, найрозумнішим зараз є швидко вивести їх у самостійний гаманць. Враховуючи, що можливо, ще кілька платформ призупинять зняття, краще діяти швидко. Команда з безпеки продовжує відстежувати адреси хакерів, плану компенсацій ще немає, тому всім слід уважно слідкувати за офіційними повідомленнями.