Naglabas ang Kelp DAO ng pahayag noong Lunes na binawasan ang direktang responsibilidad nito sa $292 milyong exploit na nangyari nitong weekend.

Noong Abril 18, nawalan ang cross-chain bridge ng Kelp DAO, na pinapagana ng LayerZero, ng 116,500 rsETH tokens na nagkakahalaga ng humigit-kumulang $292 milyon, na ginagawa itong pinakamalaking DeFi exploit ngayong taon.

Iniulat ng LayerZero noong Linggo na ang umaatake, malamang ang Lazarus Group ng North Korea, ay nakakuha ng access sa listahan ng mga RPC node na ginagamit ng decentralized verified network (DVN) ng LayerZero Labs. Pagkatapos ay nilason ng umaatake ang dalawang RPC node at naglunsad ng DDoS attack upang tanggapin ng DVN ang isang pekeng cross-chain message, na nagdulot upang pumirma ito sa isang iligal na transaksyon.

Sa ulat nito, pinuna ng LayerZero ang 1-of-1 DVN configuration ng Kelp DAO, na binanggit na lumikha ito ng isang single point of failure dahil sa kakulangan ng independiyenteng pagberipika na kinakailangan upang mahuli ang mapanlinlang na cross-chain message.

"Nauna nang nakipag-ugnayan ang LayerZero at iba pang panlabas na partido ng mga best practices hinggil sa DVN diversification sa Kelp DAO," sabi ng ulat. "Sa kabila ng mga rekomendasyong ito, pinili ng Kelp DAO na gumamit ng 1/1 DVN configuration."

'Angkop' noong panahong iyon

Ang pinakahuling pahayag ng Kelp DAO ay tumugon sa akusasyon ng LayerZero, inilipat ang responsibilidad para sa 1-of-1 DVN setup sa LayerZero.

"Ang 1-of-1 DVN setup ay ang configuration na nakadokumento sa dokumentasyon ng LayerZero at ipinadala bilang default para sa anumang bagong OFT deployment," isinulat ng Kelp sa pahayag nito sa X. "Nagtatrabaho ang Kelp sa imprastraktura ng LayerZero mula pa noong Enero 2024 at nagpanatili ng bukas na komunikasyon sa team ng LayerZero sa kabuuan."

Idinagdag ng Kelp na ang paksa ng DVN configuration ay nabanggit sa panahon ng pagpapalawak nito sa L2, at ang default setup ay "kumpirmadong angkop" noong panahong iyon.

"Ang pagtatatag ng isang ibinahagi at tumpak na ulat ng nangyari ay ang pundasyon para sa paggawa ng tamang solusyon nang sama-sama," sabi ng Kelp.

Sinabi rin ng cross-chain bridge na ang paunang tugon nito — kabilang ang pagpapatigil ng mga nauugnay na kontrata at pag-blacklist ng mga wallet na konektado sa umaatake — ay nakatulong upang masawata ang sitwasyon. Idinagdag nito na sinusuri nito ang mga susunod na hakbang upang ipagpatuloy ang protocol.

Mga senaryo ng masamang utang

Samantala, mabilis na kumalat ang epekto ng atake sa Aave protocol, dahil nagdeposito ang exploiter ng malaking bahagi ng mga ninakaw na asset sa Aave V3. Ginamit ng umaatake ang rsETH bilang collateral upang manghiram ng malaking halaga ng WETH, na nagpapataas ng panganib ng masamang utang sa protocol.

Sinabi ng pinakahuling ulat ng insidente ng Aave na nagbigay ang umaatake ng 89,567 rsETH (nagkakahalaga ng humigit-kumulang $221 milyon) bilang collateral at humiram ng 82,650 WETH at 821 wstETH, na nag-iiwan sa mga posisyon sa napakababang health factors.

Binalangkas ng protocol ang dalawang hypothetical na senaryo ng masamang utang batay sa magagamit na datos, isinasaalang-alang na hindi pa opisyal na inaanunsyo ng Kelp ang isang plano para sa paglalaan ng pagkalugi o pagbawi.

Ang unang senaryo ay nagdedetalye ng isang pare-parehong pagsososyalisa ng mga pagkalugi, sa pag-aakalang humigit-kumulang 112,204 rsETH ang magpapababa ng supply sa lahat ng chain nang pantay-pantay. Magreresulta ito sa 15.12% depeg at magdudulot ng humigit-kumulang $123.7 milyon sa masamang utang para sa Aave.  

"Sinisipsip ng Ethereum Core ang pinakamalaking ganap na pagkalugi ($91.8M), ngunit ang reserba nitong WETH ay sapat na malalim upang ang kakulangan ay manatili sa 1.54%," isinulat ng Aave. "Ang Mantle, na may pinakamaliit na reserba ng WETH kumpara sa exposure nito sa rsETH, ay nagdurusa ng 9.54% kakulangan, ang pinakamataas na proporsyonal na epekto sa senaryong ito."

Ang ikalawang senaryo ay nagpapalagay na ang mga pagkalugi ay nakahiwalay sa L2 rsETH, na iniiwan ang Ethereum mainnet rsETH na ganap na sinusuportahan. Sa kasong ito, isang 73.54% haircut ang ipapataw sa L2 collateral. Ito ay magdudulot ng mas mataas na masamang utang na $230.1 milyon sa mga L2 market tulad ng Mantle, Arbitrum, at mga WETH market ng Base.

Sa unang senaryo, ang WETH Umbrella ng Aave, na mayroong $54 milyon, ay maaaring magsilbing paunang backstop. Ang umbrella ay hindi magti-trigger sa ilalim ng ikalawang senaryo.

"Kung aling senaryo ang magkakatotoo ay nakasalalay sa mga desisyon na wala sa kontrol ng Aave, pangunahin kung paano ina-update ang rsETH accounting at ang LRTOracle exchange rate," sabi ng Aave.

Bukod pa rito, sinabi ng Aave na ang Aave DAO ay nagpapanatili ng matibay na balanse ng mga asset na may $181 milyon, at nakatanggap ito ng ilang pangako mula sa mga kalahok sa ecosystem upang suportahan ang protocol sa kaganapan ng masamang utang.