Interoperabilitätsprotokoll LayerZero behauptet, dass eine unzureichende Konfiguration im Zusammenhang mit Kelps dezentralem Verifizierungsnetzwerk (DVN) böswilligen Akteuren ermöglichte, 290 Millionen US-Dollar von Kelp DAO zu stehlen, und fügt hinzu, dass vorläufige Anzeichen auf Bedrohungsakteure aus Nordkorea hindeuten.
Ein Angreifer entzog Kelp DAOs LayerZero-gestützter rsETH-Bridge am Samstag etwa 116.500 Restaked ETH (rsETH) im Wert von rund 292-293 Millionen US-Dollar zu diesem Zeitpunkt.
LayerZero erklärte am Montag, dass der Exploit auf einen einzigen Fehlerpunkt in Kelps Einrichtung zurückzuführen sei, der sich auf ein einziges LayerZero DVN als einzigen verifizierten Pfad verlassen habe, obwohl LayerZero zuvor davon abgeraten hatte.
„LayerZero und andere externe Parteien haben KelpDAO zuvor Best Practices zur DVN-Diversifizierung mitgeteilt. Trotz dieser Empfehlungen entschied sich KelpDAO für eine 1/1 DVN-Konfiguration.“
In der Praxis bedeutete dies, dass Kelp sich für Cross-Chain-Nachrichten auf einen einzigen Verifizierungspfad verließ, anstatt mehrere unabhängige Prüfungen zu verlangen.
Der Exploit verlagerte die Aufmerksamkeit schnell von der technischen Ursache auf die Frage, wer die Verluste tragen sollte, während sich die Auswirkungen auf Aave ausbreiteten, wo der Angreifer rsETH als Sicherheit verwendete, um reale Liquidität zu leihen.
Aaves Total Value Locked (TVL) ist zum Zeitpunkt des Schreibens um etwa 8,9 Milliarden US-Dollar auf 17,5 Milliarden US-Dollar gefallen, nachdem der Ausnutzer die gestohlenen Gelder verwendet hatte, um auf Aave zu leihen, was etwa 195 Millionen US-Dollar an „faulen Krediten“ hinterließ und Abhebungen vom Lending-Protokoll auslöste.
LayerZero sagte, Kelps rsETH-Bridge habe sich ausschließlich auf das LayerZero Labs DVN verlassen und argumentierte, dass der Vorfall eine unsichere Anwendungskonfiguration und keinen Kompromiss von LayerZero selbst widerspiegele. Das Unternehmen erklärte, es dränge nun alle Anwendungen, die 1/1 DVN-Setups verwenden, zur Migration auf Multi-DVN-Konfigurationen und werde die Signierung oder Bestätigung von Nachrichten für Apps einstellen, die das Single-Verifier-Design beibehalten.
Da noch kein Wiederherstellungs- oder Entschädigungsplan angekündigt wurde, debattierten Nutzer und Marktbeobachter am Montag darüber, ob die Verluste bei Kelp DAO, LayerZero, Aave oder den rsETH-Inhabern selbst liegen sollten.
Yishi Wang, Gründer und CEO der Open-Source-Hardware-Wallet OneKey, sagte, der beste Weg sei, mit dem Hacker zu verhandeln, eine Belohnung von 10% bis 15% anzubieten und den Großteil der Gelder zurückzuerhalten.
„Sollten die Verhandlungen scheitern, sollte der Ökosystemfonds von LayerZero den Großteil der Rechnung übernehmen – er hat die tiefsten Taschen und das größte langfristige Interesse“, schrieb der Gründer in einem X-Post vom Montag und fügte hinzu, dass Kelp DAO „pleite“ sei und dies mit Token und zukünftigen Einnahmen ausgleichen oder den Verkauf des Projekts in Betracht ziehen könnte.
Der pseudonyme Gründer der Analyseplattform DeFiLlama, 0xngmi, skizzierte drei Lösungen, darunter die Option, Verluste unter allen Nutzern zu „sozialisieren“, „rsETH-Halter auf L2s zu ruggen“ oder zu versuchen, die Kontostände der Halter auf einen Pre-Hack-Snapshot zurückzusetzen, was „sehr schwer zu bewerkstelligen“ wäre, schrieb er in einem X-Post vom Montag.
Cointelegraph hat Aave um einen Kommentar gebeten, jedoch bis zur Veröffentlichung keine Antwort erhalten.
Verwandt: Hyperbridge-Angreifer prägt 1 Milliarde überbrückte Polkadot-Token in 237.000 US-Dollar-Exploit
Anlegerbedenken hinsichtlich des Kelp-Exploits haben die Ether (ETH)-Liquidität auf Aave, dem Kern-Sicherheitswert des Lending-Protokolls, erheblich reduziert.
Diese geringe Liquidität stellt ein „kritisches Sicherheitsrisiko dar, bei dem Liquidationen von ETH-Sicherheiten nicht stattfinden können, während die Märkte zu 100% ausgelastet sind“, sagte MoneySupply, der pseudonyme Strategiechef des Aave-Konkurrenten Spark, in einem X-Post vom Samstag.
„Angesichts der aktuellen Illiquiditätsbedingungen auf Aave könnte ein Preisrückgang von 15-20% bei ETHUSD zu einer erheblichen Anhäufung fauler Kredite führen (zusätzlich zu potenziellen Problemen, die dem direkten rsETH-Exploit zuzuschreiben sind)“, sagte er.
Aave erklärte, es habe umgehend alle rsETH in Aave v3 und V4 eingefroren, um weiteren Schaden zu verhindern. Aaves eigene Smart Contracts wurden nicht ausgenutzt.
Magazin: Treffen Sie die On-Chain-Krypto-Detektive, die Verbrechen besser bekämpfen als die Polizei
