@Aave hat alle Kreditmärkte seiner V3- und V4-Deployments wieder freigegeben – wenige Tage nachdem eine Sicherheitsverletzung bei @Binance einen protokollweiten Notfall-Freeze ausgelöst hatte. Das Protokoll erklärt, seine Smart Contracts seien nicht betroffen gewesen und die Positionen seien durchgehend vollständig besichert geblieben.
Aave erklärte, dass während des Freeze lediglich neue Einzahlungen und Kreditaufnahmen pausiert wurden, während Abhebungen und Rückzahlungen normal weiterliefen, so PANews.
Neun Assets bleiben als Sicherheiten ausgeschlossen
Die Wiedereröffnung der Märkte stellt nicht den vollen Funktionsumfang wieder her. Als fortlaufende Vorsichtsmaßnahme bleibt das Loan-to-Value-Verhältnis (LTV) von USDT, USDC, USDT0, POL, WAVAX, sAVAX, XAUT, PAXG und OP vorübergehend bei 0. Das bedeutet, dass diese Assets nicht als Sicherheit für neue Kredite verwendet werden können. Wie The Defiant berichtet, gelten die Einschränkungen überall dort, wo die Assets gelistet sind, wobei für bestehende Positionen in V3 und V4 unterschiedliche Regeln gelten.
Ein LTV von 0 % verhindert, dass ein Asset als Sicherheit für neue Kredite dient. Dadurch sinkt die Wahrscheinlichkeit, dass gestohlene oder volatile Token dazu verwendet werden, dem Protokoll Liquidität zu entziehen. Außerdem wird das Risiko uneinbringlicher Schulden begrenzt, falls sich die Preise stark verändern.
Warum Aave seine Märkte einfror
Laut einem Beitrag im Governance-Forum von Aave schlossen sich die Risikoteams innerhalb von zehn Minuten nach den ersten Meldungen mit Aave Labs, TokenLogic und Certora zu einer gemeinsamen Einsatzgruppe zusammen. Sie entschieden sich für einen protokollweiten Freeze, weil der Angreifer gestohlene Gelder in jedes beliebige gelistete Asset tauschen konnte. Nur die gestohlenen Token einzufrieren, hätte daher andere Wege offengelassen. Der Guardian kann einen Freeze außerdem rückgängig machen, während eine Senkung der Supply-Caps eine Governance-Abstimmung erfordert hätte und die Wiederherstellung etwa fünf Tage gedauert hätte.
Insgesamt wurden auf Aave V3 175 Reserven über 16 Netzwerke und auf Aave V4 117 Reserven über vier Netzwerke eingefroren. Der Risikodienstleister LlamaRisk berichtete, dass eine mit dem Angreifer verknüpfte Wallet 60 Millionen USDT eingezahlt und 19.762 Wrapped Ether im damaligen Wert von rund 44,6 Millionen US-Dollar geliehen hatte, wie Cointelegraph berichtete. Die Transaktion nutzte die standardmäßigen Kreditfunktionen von Aave und beinhaltete keinen Exploit der Kreditverträge.
Das Onchain-Analyseunternehmen Bitquery erklärte, dass die USDT-Einzahlung des Hackers auf Aave nicht eingefroren wurde. Am Morgen des 30. Oktober war der USDT-Pool von Aave jedoch nahezu leer. Dadurch konnten zum Zeitpunkt der Messung nur etwa 3.185 US-Dollar abgehoben werden. Dieser Betrag verändert sich, wenn Kreditgeber Gelder hinzufügen oder abziehen.
Der größere Vorfall bei Binance ist noch nicht abgeschlossen. Binance schätzt, dass Assets im Wert von rund 6,3 Milliarden US-Dollar betroffen waren, von denen mit Unterstützung von Branchenpartnern etwa 3 Milliarden US-Dollar eingefroren wurden, so crypto.news.
Quellen
PANews: Aave gibt alle V3- und V4-Märkte wieder frei
Aave Governance: Exploit der Binance-Hot-Wallet und die Reaktion von Aave
The Defiant: Aave öffnet Märkte wieder, belässt aber neun Assets bei einem LTV von null