Крупнейший взлом в DeFi в этом году произошёл в субботу, 18 апреля: за 46 минут через межсетевой мост Kelp DAO вывели 116 500 rsETH на сумму 292 миллиона долларов. Подробности произошедшего прояснили обновление о возврате средств и иск.

rsETH — это токен ликвидного рестейкинга, выпускаемый Kelp. Вы вносите ETH, Kelp отправляет его в EigenLayer для получения дохода, а взамен выдаёт вам rsETH — токен, который можно передавать и использовать в качестве залога для займов. Мост сжигает токены на одной стороне и выпускает эквивалентное количество на другой, полагаясь на подтверждение сжигания. В тот вечер кто-то создал из ничего 116 500 rsETH, не внеся ни одного ETH.

Хакер действовал в два этапа. Согласно иску, 6 марта он установил троян на компьютер одного из разработчиков LayerZero и получил доступ к узлу. 18 апреля скомпрометированный узел передал валидатору ложные данные, тот одобрил поддельное межсетевое сообщение, и мост пропустил его. Всё это стало возможным потому, что у моста Kelp был всего один валидатор — его запускала сама LayerZero, и только она решала, подлинное сообщение или нет.

Получив деньги, хакер не стал сразу уходить. Он заложил часть rsETH в Aave, занял WETH и вывел около 106 тысяч ETH — примерно 250 миллионов долларов. Через 46 минут Kelp заморозила контракт и остановила вторую эмиссию на 40 тысяч токенов. В тот же день 9 протоколов заморозили рынки rsETH, а Arbitrum заморозила 30 766 ETH, принадлежавших атакующему. Они всё ещё заморожены. Chainalysis возложила ответственность за атаку на северокорейскую группировку Lazarus.

К 7 ноября Kelp вернула 43 тысячи ETH, а Arbitrum заморозила ещё 30 766 ETH — всего около 73,7 тысячи. Изначальная недостача составляла 163,2 тысячи ETH, так что примерно 89,5 тысячи всё ещё не покрыты. Недостача превышает объём выпущенных токенов — 116,5 тысячи, потому что хакер также заложил ничем не обеспеченные rsETH и занял WETH: эти заёмные средства тоже нужно учитывать в сумме ущерба. Aave, Mantle, Lido и другие протоколы объединились в DeFi United и пообещали предоставить 43,5 тысячи ETH. 24 сентября компания-разработчик Kelp, Evercrest, подала иск против LayerZero и её CEO в провинции Британская Колумбия, Канада. Истец утверждает, что в 2024 году ответчик письменно одобрил конфигурацию с одним валидатором и даже предложил скопировать настройки другого моста. LayerZero заявила, что обвинения безосновательны. Суд ещё не вынес решение.

Это напрямую касается розничных инвесторов, у которых есть rsETH. Токен, дающий доходность, — не банковский вклад: его стоимость зависит от моста и способа валидации. Если с мостом что-то случается, токен сначала теряет привязку к стоимости, а затем начинают ликвидировать позиции, в которых он использовался как залог для займа. Громкое имя не гарантирует надёжной валидации: данные в блокчейне Kelp показывают, что изначально у моста было два валидатора, но затем остался один — и никто не забил тревогу. Взлом не означает, что все деньги потеряны: часть средств действительно удалось вернуть, но на это уходят месяцы, а недостачу до сих пор не покрыли полностью.

Моё мнение простое: безопасность моста определяется не именем, а количеством валидаторов. Один валидатор — это отсутствие валидации.

У вас есть токены, приносящие доходность? Проверяли, как устроена валидация у моста, который за ними стоит?

#Kelp #LayerZero #跨链桥 #安全复盘 #rsETH

—— веб3-лук Цзю Кая

Эта статья отражает лишь личное мнение автора и не является инвестиционной рекомендацией. Источники данных: Unchained, The Block, Bitquery, страница отслеживания DeFi United и открытые публикации. Суммы рассчитаны по оценке на момент происшествия; рыночная ситуация может измениться в любой момент. Самостоятельно оценивайте риски.