Експлойт Kelp DAO на $292 мільйони викликав нові запитання щодо ризиків на ринках ліквідного рестейкінгу та кредитування DeFi. 

Повідомляється, що атака торкнулася мосту rsETH протоколу та залучила 116 500 rsETH, що дорівнює близько 18% обігової пропозиції.

Інцидент не обмежився лише Kelp DAO. Aave зафіксував значні виведення коштів, тоді як SparkLend і Fluid призупинили ринки rsETH. Lido також призупинив earnETH, який мав експозицію до rsETH, хоча його основний продукт stETH не постраждав.

Допис акаунта, що спеціалізується на DeFi, відомого як @whatexchange у X, порівняв цю подію з фінансовою кризою 2008 року. Акаунт написав: «Накопичення шарів активів не усуває ризику. Воно його стискає та приховує.»

Продукти з багаторівневою дохідністю під пильною увагою

У дописі стверджувалося, що rsETH пройшов через кілька шарів до експлойту. Користувачі спочатку застейкали ETH через Lido та отримали stETH. Цей stETH потім міг перейти до Kelp DAO та EigenLayer, де карбувався rsETH.

Потім токен rsETH використовувався як застава на кредитних платформах, таких як Aave, SparkLend та Fluid. Його також переводили через міст LayerZero до інших блокчейнів, створюючи обгорнуті версії, які залежали від того самого базового активу.

Аналіз порівняв цю структуру з іпотечними продуктами до кризи 2008 року. У ньому йшлося, що обидві системи перепаковували один базовий актив через кілька фінансових шарів, причому кожен шар залежав від належного функціонування попереднього.

Реакція ринку показує приховану експозицію

Після експлойту Kelp DAO кілька платформ DeFi перейшли до зменшення ризику. Aave заморозив ринки rsETH на кілька годин, тоді як SparkLend і Fluid призупинили аналогічні ринки. Ethena також призупинила мости LayerZero OFT як запобіжний захід, попри відсутність прямої експозиції до rsETH.

Згідно з дописом, понад 6,2 мільярда доларів вийшли з Aave менш ніж за 36 годин. Акаунт зазначив, що основною проблемою був не тільки розмір експлойту, а й складність картографування непрямої експозиції між протоколами.

У дописі йшлося: «Жоден учасник, включно з самими протоколами, не може повністю відобразити свою мережу експозиції». Також додано, що коли користувачі не можуть перевірити експозицію в реальному часі, вони часто реагують виведенням коштів.

Дискусія про ризики DeFi переходить до системного дизайну

Допис також зосередився на безпеці мостів. Він стверджував, що Kelp використовував налаштування верифікатора 1-з-1, що означає, що один вузол перевіряв міжланцюгові повідомлення перед переміщенням коштів. У дописі стверджувалося, що така конструкція створює єдину точку відмови в продукті, який позиціонувався як децентралізований.

Аналіз також поставив під сумнів накопичення дохідності. У ньому йшлося, що кожен шар додає нові ризики, включаючи слешинг валідатора, ризики рестейкінгу, помилки мосту, збої контрактів та ліквідації кредитів.

У дописі зазначено, що користувачі не повинні оцінювати продукти DeFi лише за APY. Він стверджував, що вищі дохідності часто відображають прихований ризик у кількох пов'язаних системах, а не простий пасивний дохід.

Експлойт Kelp DAO тепер став частиною ширшої дискусії про безпеку, кредитне плече та прозорість DeFi. Інцидент показав, як одна несправність може вплинути на користувачів кількох платформ, включаючи тих, хто безпосередньо не взаємодіяв з Kelp DAO.