Wu Blockchain berichtet, dass Kelp DAO unter einem massiven Cross-Chain-Exploits gelitten hat, der etwa 116.500 rsETH abgezogen hat, was fast 292 Millionen Dollar wert ist. Der Vorfall wirft neue Bedenken hinsichtlich der Sicherheit des Protokolls auf, weniger als ein Jahr nach einer früheren Störung, die mit einem Fehler im Smart Contract verbunden war.
Kelp DAO Antwort verhindert zusätzliche Exploit-Versuche
Laut Blockchain-Daten hat der Angriff auf die Kelp DAO eine Schwäche in der Cross-Chain-Kommunikation ausgenutzt, die speziell den Brückenmechanismus ins Visier nahm, der zum Transfer von Vermögenswerten zwischen Netzwerken verwendet wird. Der Exploit wurde durch einen Aufruf der Funktion „Iz Receive“ auf LayerZero’s EndpointV2 ausgeführt, die letztendlich die Freigabe von Mitteln an eine von einem Angreifer kontrollierte Wallet auslöste.
Der On-Chain-Detektiv ZachXBT gehörte zu den ersten, die die Sicherheitslücke aufdeckten, und schätzte Verluste von über 280 Millionen US-Dollar über Ethereum und Arbitrum hinweg. Der Blockchain-Ermittler stellte außerdem fest, dass die Angriffskonten zunächst über Tornado Cash finanziert wurden, was auf einen gezielten Versuch hindeutet, die Herkunft der Gelder für den stark koordinierten Angriff zu verschleiern.
Als Reaktion auf diesen Angriff hat Kelp DAO sofort alle rsETH-Verträge auf seinem Mainnet sowie den verbundenen L2-Netzwerken gestoppt. Das Protokoll fror außerdem die Aktivität über seine zentralen Verträge und Systeme ein, die Deposits, Withdrawals und Oracle-Funktionen abdecken. Laut Kelp DAO läuft derzeit eine laufende Untersuchung mit LayerZero und Unichain.
Bemerkenswert ist, dass der Angreifer zwei weitere Transaktionen versuchte, um weitere 40.000 rsETH abzuziehen, im Wert von nahe 100 Millionen US-Dollar. Allerdings stellten die schnellen Maßnahmen von Kelp DAO sicher, dass beide Versuche scheiterten und die Verluste nicht auf 391 Millionen US-Dollar anstiegen.
Aave friert rsETH-Verträge ein
In anderen Nachrichten hat sich die Auswirkung rasch über Kelp DAO hinaus ausgebreitet, wobei Kreditprotokolle sofort unter Druck geraten sind. Aave, eines der größten DeFi-Kreditplattformen, reagierte, indem es rsETH-Märkte über seine V3- und V4-Deployments hinweg einfrierte.
Aave hat jedoch klargestellt, dass die eigenen Smart Contracts nicht ausgenutzt wurden, und dass die Maßnahme rein vorsorglich ist, um das weitere Risiko einer Verschuldung gegenüber rsETH zu begrenzen, während man die Lage beurteilt. Das Aave-Management ist außerdem dazu verpflichtet, mögliche Minderungsstrategien zu prüfen, falls aus den Exploits eine schlechte Schuld entsteht.
rsETH selbst ist ein liquider Restaking-Token, der gestaktes ETH abbildet und es Nutzern ermöglicht, zusätzliches Yield durch Restaking-Strategien zu verdienen. Er spielt eine Schlüsselrolle im Cross-Chain-DeFi und ermöglicht es, Kapital nahtlos über mehrere Netzwerke hinweg zu bewegen, darunter Arbitrum, Base und Scroll. Das Ausmaß des Exploits ist besonders verheerend, da die gestohlenen Mittel etwa 18% des gesamten umlaufenden rsETH-Angebots ausmachen und damit sowohl die Liquidität als auch das Vertrauen der Nutzer erheblich beeinträchtigen.
