Kelp DAO روز دوشنبه با صدور بیانیه‌ای مسئولیت مستقیم خود را در قبال حمله سایبری ۲۹۲ میلیون دلاری که آخر هفته رخ داد، کم اهمیت جلوه داد.

در ۱۸ آوریل، پل بین‌زنجیره‌ای Kelp DAO که مبتنی بر لایه‌زیرو (LayerZero) است، ۱۱۶,۵۰۰ توکن rsETH به ارزش تقریبی ۲۹۲ میلیون دلار را از دست داد و این اتفاق آن را به بزرگترین حمله دیفای (DeFi) در سال جاری تبدیل کرد.

LayerZero روز یکشنبه گزارش داد که مهاجم، که احتمالاً گروه لازاروس (Lazarus Group) کره شمالی است، به فهرست گره‌های RPC مورد استفاده توسط شبکه تأیید شده غیرمتمرکز (DVN) LayerZero Labs دسترسی پیدا کرده است. سپس مهاجم دو گره RPC را آلوده کرده و با راه‌اندازی حمله DDoS باعث شد DVN یک پیام بین‌زنجیره‌ای جعلی را بپذیرد که منجر به امضای یک تراکنش نامشروع شد.

LayerZero در گزارش خود از پیکربندی DVN یک به یک Kelp DAO انتقاد کرد و خاطرنشان ساخت که این پیکربندی با فقدان تأیید مستقل لازم برای شناسایی پیام بین‌زنجیره‌ای تقلبی، یک نقطه شکست واحد ایجاد کرده است.

این گزارش می‌گوید: «LayerZero و سایر طرف‌های خارجی پیشتر بهترین شیوه‌ها را در مورد تنوع‌بخشی DVN به Kelp DAO اطلاع‌رسانی کرده بودند.» «علیرغم این توصیه‌ها، Kelp DAO استفاده از پیکربندی DVN 1/1 را انتخاب کرد.»

در آن زمان "مناسب" بود

آخرین بیانیه Kelp DAO به اتهام LayerZero پاسخ داد و مسئولیت راه‌اندازی DVN یک به یک را به LayerZero منتقل کرد.

Kelp در بیانیه خود در X نوشت: «راه‌اندازی DVN یک به یک، همان پیکربندی مستند شده در مستندات LayerZero است که به عنوان پیش‌فرض برای هر استقرار جدید OFT ارائه می‌شود.» «Kelp از ژانویه ۲۰۲۴ بر روی زیرساخت LayerZero فعالیت داشته و کانال ارتباطی باز با تیم LayerZero را در طول این مدت حفظ کرده است.»

Kelp افزود که موضوع پیکربندی DVN در طول گسترش آن به لایه 2 (L2) مطرح شده بود و راه‌اندازی پیش‌فرض در آن زمان "به طور قطعی مناسب تأیید شده بود."

Kelp گفت: «ایجاد یک روایت مشترک و دقیق از آنچه اتفاق افتاده، بنیان اصلی برای انجام اصلاحات صحیح به صورت مشترک است.»

این پل بین‌زنجیره‌ای همچنین اظهار داشت که واکنش اولیه آن – شامل توقف قراردادهای مربوطه و افزودن کیف پول‌های مرتبط با مهاجم به لیست سیاه – به مهار وضعیت کمک کرده است. این پروتکل افزود که در حال ارزیابی گام‌های بعدی برای از سرگیری فعالیت پروتکل است.

سناریوهای بدهی سوخت شده

در همین حال، تأثیر این حمله به سرعت به پروتکل آوه (Aave) نیز سرایت کرد، زیرا مهاجم بخش قابل توجهی از دارایی‌های سرقت شده را به Aave V3 واریز کرد. مهاجم از rsETH به عنوان وثیقه برای قرض گرفتن مقادیر زیادی WETH استفاده کرد که خطر بدهی سوخت شده را برای این پروتکل افزایش داد.

آخرین گزارش حادثه آوه بیان کرد که مهاجم ۸۹,۵۶۷ rsETH (به ارزش تقریبی ۲۲۱ میلیون دلار) را به عنوان وثیقه تأمین کرده و ۸۲,۶۵۰ WETH و ۸۲۱ wstETH قرض گرفته که موقعیت‌ها را در فاکتورهای سلامت بسیار پایینی قرار داده است.

این پروتکل بر اساس داده‌های موجود، دو سناریوی فرضی بدهی سوخت شده را تشریح کرده است، با توجه به اینکه Kelp هنوز رسماً برنامه‌ای برای تخصیص ضرر یا بازیابی اعلام نکرده است.

سناریوی اول به تشریح همگانی کردن یکنواخت ضررها می‌پردازد، با فرض اینکه حدود ۱۱۲,۲۰۴ rsETH عرضه را در تمام زنجیره‌ها به طور مساوی رقیق می‌کند. این امر منجر به ۱۵.۱۲% از دست دادن پیوستگی (depeg) و حدود ۱۲۳.۷ میلیون دلار بدهی سوخت شده برای آوه خواهد شد.  

آوه نوشت: «هسته اتریوم (Ethereum Core) بزرگترین ضرر مطلق (۹۱.۸ میلیون دلار) را متحمل می‌شود، اما ذخیره WETH آن به اندازه‌ای عمیق است که کسری در ۱.۵۴% باقی می‌ماند.» «منتل (Mantle)، با کوچکترین ذخیره WETH نسبت به مواجهه با rsETH، دچار کسری ۹.۵۴% می‌شود که بالاترین تأثیر متناسب در این سناریو است.»

سناریوی دوم فرض می‌کند که ضررها به rsETH لایه 2 (L2) محدود شده و rsETH شبکه اصلی اتریوم به طور کامل پشتیبانی شده باقی می‌ماند. در این حالت، کاهش ارزش ۷۳.۵۴ درصدی (haircut) بر وثیقه L2 اعمال خواهد شد. این امر منجر به بدهی سوخت شده بیشتر به مبلغ ۲۳۰.۱ میلیون دلار در بازارهای L2 مانند منتل، آربیتروم (Arbitrum) و بازارهای WETH بیس (Base) خواهد شد.

در سناریوی اول، چتر WETH آوه که ۵۴ میلیون دلار را در خود جای داده است، می‌تواند به عنوان یک پشتیبان اولیه عمل کند. این چتر در سناریوی دوم فعال نخواهد شد.

آوه گفت: «اینکه کدام سناریو محقق می‌شود، به تصمیماتی خارج از کنترل آوه بستگی دارد، عمدتاً به نحوه به‌روزرسانی حسابداری rsETH و نرخ مبادله LRTOracle.»

علاوه بر این، آوه گفت که دائو آوه (Aave DAO) ترازنامه قوی با ۱۸۱ میلیون دلار دارایی را حفظ کرده است و تعهدات متعددی از مشارکت‌کنندگان اکوسیستم برای حمایت از پروتکل در صورت بروز بدهی سوخت شده دریافت کرده است.