Giao thức tương tác LayerZero tuyên bố rằng một thiết lập không đầy đủ liên quan đến mạng lưới xác minh phi tập trung (DVN) của Kelp đã tạo điều kiện cho các tác nhân độc hại đánh cắp 290 triệu USD từ Kelp DAO, đồng thời cho biết thêm rằng các dấu hiệu ban đầu cho thấy những tác nhân đe dọa có liên hệ với Triều Tiên.
Một kẻ tấn công đã rút khoảng 116.500 Restaked ETH (rsETH), trị giá khoảng 292-293 triệu USD vào thời điểm đó, từ cầu rsETH do LayerZero cung cấp của Kelp DAO vào thứ Bảy.
LayerZero cho biết vào thứ Hai rằng vụ khai thác bắt nguồn từ một điểm lỗi duy nhất trong thiết lập của Kelp, vốn chỉ dựa vào một DVN LayerZero duy nhất làm con đường xác minh duy nhất, mặc dù LayerZero trước đó đã khuyên họ không nên làm vậy.
“LayerZero và các bên ngoài khác trước đây đã truyền đạt các thực tiễn tốt nhất về đa dạng hóa DVN cho KelpDAO. Bất chấp những khuyến nghị này, KelpDAO đã chọn sử dụng cấu hình DVN 1/1.”
Trên thực tế, điều đó có nghĩa là Kelp dựa vào một đường dẫn xác minh duy nhất cho các tin nhắn xuyên chuỗi thay vì yêu cầu nhiều kiểm tra độc lập.
Vụ khai thác nhanh chóng chuyển sự chú ý từ nguyên nhân kỹ thuật sang câu hỏi ai sẽ chịu trách nhiệm về thiệt hại, trong khi hậu quả lan rộng đến Aave, nơi kẻ tấn công đã sử dụng rsETH làm tài sản thế chấp để vay thanh khoản thực.
Tổng giá trị bị khóa (TVL) của Aave đã giảm khoảng 8,9 tỷ USD xuống còn 17,5 tỷ USD tại thời điểm viết bài sau khi kẻ khai thác sử dụng số tiền bị đánh cắp để vay trên Aave, để lại khoảng 195 triệu USD trong "nợ xấu", gây ra các đợt rút tiền trên giao thức cho vay này.
LayerZero cho biết cầu rsETH của Kelp chỉ dựa vào DVN của LayerZero Labs, và lập luận rằng sự cố này phản ánh một cấu hình ứng dụng không an toàn chứ không phải là sự xâm phạm vào chính LayerZero. Công ty cho biết họ hiện đang thúc giục tất cả các ứng dụng sử dụng cấu hình DVN 1/1 di chuyển sang cấu hình đa-DVN và sẽ ngừng ký hoặc chứng thực các tin nhắn cho các ứng dụng vẫn giữ thiết kế trình xác minh duy nhất.
Hiện tại chưa có kế hoạch phục hồi hay bồi thường nào được công bố, người dùng và các nhà quan sát thị trường đã dành ngày thứ Hai để tranh luận xem thiệt hại nên do Kelp DAO, LayerZero, Aave hay chính những người nắm giữ rsETH gánh chịu.
Yishi Wang, người sáng lập và CEO của ví phần cứng mã nguồn mở OneKey, cho biết con đường tốt nhất là đàm phán với tin tặc, đề nghị khoản tiền thưởng từ 10% đến 15% và lấy lại phần lớn số tiền.
“Nếu đàm phán thất bại, quỹ hệ sinh thái của LayerZero nên chịu phần lớn chi phí – họ có nguồn lực dồi dào nhất và lợi ích lâu dài nhất trong cuộc chơi này,” người sáng lập viết trong một bài đăng trên X vào thứ Hai, thêm vào đó, Kelp DAO đang “phá sản” và có thể bù đắp bằng token và doanh thu trong tương lai, hoặc cân nhắc bán dự án.
Người sáng lập ẩn danh của nền tảng phân tích DeFiLlama, 0xngmi, đã đưa ra ba giải pháp, bao gồm tùy chọn "xã hội hóa" thiệt hại giữa tất cả người dùng, "rút thảm" những người nắm giữ rsETH trên L2s, hoặc cố gắng đưa số dư của người nắm giữ về trạng thái trước khi bị hack, điều này sẽ "rất khó thực hiện", ông viết trong một bài đăng trên X vào thứ Hai.
Cointelegraph đã liên hệ với Aave để hỏi ý kiến, nhưng chưa nhận được phản hồi tại thời điểm xuất bản.
Liên quan: Kẻ tấn công Hyperbridge tạo ra 1 tỷ token Polkadot được cầu nối trong vụ khai thác 237 nghìn USD
Mối lo ngại của nhà đầu tư về vụ khai thác Kelp đã làm giảm đáng kể thanh khoản Ether (ETH) trên Aave, tài sản thế chấp cốt lõi của giao thức cho vay.
Thanh khoản thấp này đặt ra “rủi ro an toàn nghiêm trọng, nơi việc thanh lý tài sản thế chấp ETH không thể diễn ra trong khi thị trường đang được sử dụng 100%,” MoneySupply, người đứng đầu chiến lược ẩn danh tại Spark, một giao thức cho vay cạnh tranh với Aave, cho biết trong một bài đăng trên X vào thứ Bảy.
“Với điều kiện thanh khoản kém hiện tại trên Aave, việc giá ETHUSD giảm 15-20% có thể gây ra sự tích lũy nợ xấu đáng kể (ngoài bất kỳ vấn đề tiềm ẩn nào có thể do vụ khai thác rsETH trực tiếp gây ra),” ông nói.
Aave cho biết họ ngay lập tức đóng băng tất cả rsETH trong Aave v3 và V4, ngăn chặn thiệt hại thêm. Các hợp đồng thông minh của Aave không bị khai thác.
Tạp chí: Gặp gỡ các thám tử tiền mã hóa trên chuỗi chống tội phạm giỏi hơn cả cảnh sát
