Aave cho biết hoạt động đã trở lại bình thường sau khi $300M Backstop thay thế các tài sản đã bị rút cạn

Giao thức tài chính phi tập trung Aave gần đây đã tiết lộ rằng họ đã khôi phục hoàn toàn thanh khoản cho các pool cho vay của mình sau một vụ khai thác xuyên chuỗi trị giá 300 triệu USD.

Phân tích chi tiết vụ tấn công

Giao thức DeFi tiên phong Aave đã thành công khôi phục thanh khoản đầy đủ cho các pool cho vay của mình, khép lại một nỗ lực ổn định kéo dài nhiều tuần sau vụ khai thác xuyên chuỗi trị giá 300 triệu USD đe dọa nguồn tiền mặt của giao thức, theo thông báo của đội ngũ phát triển vào ngày 1/6.

Aave cho biết trong báo cáo hậu sự (post-mortem) rằng bằng cách huy động một quỹ cứu trợ quy mô toàn ngành trị giá 300 triệu USD và giành được lệnh khẩn cấp của tòa án liên bang, họ có thể thay thế các tài sản đã bị rút cạn, bảo vệ người gửi tiền khỏi thua lỗ và khôi phục hoạt động vay-mượn cho vay bình thường trên toàn giao thức.

Bài đăng post-mortem được công bố hơn một tháng sau khi một kẻ tấn công khai thác một cầu nối bên thứ ba do Kelp và Layerzero vận hành. Bằng cách giả mạo các thông điệp xuyên chuỗi, hacker đã phát hành 116.500 token rsETH giả và nạp chúng vào nền tảng V3 của Aave làm tài sản thế chấp.

Kẻ tấn công ngay lập tức dùng rsETH giả làm thế chấp để rút ra các tài sản có tính thanh khoản cao, vay 82.650 ethereum được bọc (WETH) và 821 ethereum được staking bọc (wstETH). Việc rút ồ ạt và đồng loạt đã làm suy yếu về mặt cấu trúc các pool thanh khoản cốt lõi của Aave, buộc các nhà quản lý rủi ro phải đóng băng các thị trường bị ảnh hưởng nhằm ngăn một đợt rút chạy lan rộng khỏi nguồn vốn của nền tảng.

Để vá lỗ hổng, Aave Labs đã hỗ trợ huy động một liên minh khẩn cấp gồm các bên tham gia lớn trong ngành, bao gồm Lido, Ether.fi, Ethena và Compound. Cùng nhau, nhóm này đã thiết kế một quỹ phục hồi trị giá 300 triệu USD. Khoản bơm vốn này đã “chốt chặn” hiệu quả các tài sản rsETH bị xâm phạm, đảm bảo rằng mỗi đô la tiền gửi của người dùng đều vẫn được bảo đảm đầy đủ bằng các dự trữ xác thực.

Mở khóa vốn

Tuy nhiên, con đường khôi phục thanh khoản gặp trở ngại pháp lý vào ngày 1/5, khi các chủ nợ theo phán quyết trong một vụ án liên bang không liên quan đã chặn quá trình phục hồi. Các chủ nợ đã có được một thông báo lệnh cấm, đóng băng khoảng 71 triệu USD ethereum đã bị thu hồi từ kẻ tấn công và dự kiến sẽ được dùng để bơm lại vào các pool của Aave.

Aave đã phản hồi bằng cách đệ đơn kiến nghị khẩn cấp lên tòa án liên bang của Mỹ vào ngày 4/5, và bốn ngày sau, một thẩm phán đã cho phép sửa đổi quan trọng đối với lệnh đóng băng, qua đó cho phép chuyển ngay 71 triệu USD trở lại quyền quản lý trực tiếp của Aave. Cột mốc pháp lý này giúp các nhà phát triển nhanh chóng chuyển tiền trở lại vào các pool cho vay đang hoạt động của giao thức, khôi phục độ sâu thanh khoản cần thiết cho hoạt động thị trường an toàn.

Với nguồn dự trữ vốn đã được bổ sung đầy đủ và các thông số thị trường trước vụ khai thác được khôi phục, Aave đang cải tổ kiến trúc rủi ro của mình để “cách ly” thanh khoản khỏi các sự cố hệ thống do bên thứ ba trong tương lai gây ra.

Để ngăn các kẻ tấn công trong tương lai chuyển đổi các token bị khai thác thành tài sản thanh khoản của giao thức, các nhà phát triển Aave đã thực hiện 295 lần cập nhật tham số riêng lẻ, cắt giảm mạnh hạn mức vay và giới hạn cung trên 168 pool tài sản khác nhau.

Ngoài ra, giao thức cũng đang triển khai một cơ chế ngắt mạch tự động LTV0 (loan-to-value bằng 0). Từ nay về sau, nếu bất kỳ hạ tầng xuyên chuỗi nào nằm dưới một tài sản trải qua sự cố vi phạm an ninh, hệ thống sẽ ngay lập tức loại bỏ giá trị tài sản thế chấp của tài sản đó. Điều này đảm bảo rằng các token bị xâm phạm không còn có thể được dùng để vay hoặc rút cạn thanh khoản xác thực khỏi các thị trường của Aave.