Aave сьогодні оголосив, що "відновив нормальну роботу" — після події, що сталася місяць тому і коштувала 2,3 мільярди доларів

Але як саме сталася атака, після прослуховування ви точно отримаєте холодний піт.
18 квітня хтось підробив фальшиве повідомлення, обманув міжланцюговий міст, і безпосередньо "надрукував" 116 500 rsETH (заставний сертифікат ETH). Потім ці фальшиві монети використали для застави в Aave, позичили справжній ETH, і вкрали 2,3 мільярди.
Код Aave сам по собі не постраждав. Він просто прийняв зовнішній токен як заставу — а "програму друку" цього токена він контролювати не може.
Це схоже на те, що банк не був пограбований, а хтось приніс підроблені купюри для отримання кредиту, і касир справді видав гроші.
Ще більш захоплююче: пул миттєво був висмоктаний, звичайні користувачі не можуть вивести свої гроші, і змушені використовувати свої стабільні монети для застави і позики — операція "сам себе позичає" з додатковими 300 мільйонами за 24 години.
Зараз Aave каже, що "відремонтували". Але модель атаки не зникла, і наступна "фальшива валюта", можливо, вже на шляху.
Чим далі граєш у DeFi, тим більше вона нагадує збірку LEGO — кожен блок гарний сам по собі, але зібрати їх разом — і вже не зупинитися.