Deposito’s op Aave stonden op $18,1 miljard op het moment van schrijven. Dat is ongeveer 31% lager dan de $26,1 miljard die het had op de dag vóór de Kelp-hack in april, volgens DefiLlama.
De eigen code van de kredietverstrekker is nooit stukgegaan. Wat fout ging, was het onderpand achter de leningen, op een plek waar die leencontracten niet konden controleren.
Wat de Kelp-hack echt kapot maakte
Op 18 april vielen aanvallers aan op hoe de cross-chain bridge van Kelp DAO binnenkomende berichten controleerde, niet op de leenlogica zelf. Kelp is een liquid restaking-protocol en rsETH is het ontvangstbewijs-token daarvan.
Een rsETH-houder bezit geen ether. Ze hebben een claim op gestakete ether, en die claim is eerst via een bridge gegaan. De aanvallers manipuleerden de datafeeds die de bridge vertrouwde en stuurden een nepbericht door het systeem. Daardoor werd 116.500 rsETH vrijgegeven, ter waarde van ongeveer $292 miljoen, bijna 18% van het totale aantal tokens, zonder enig onderpand erachter.
Beveiligingsbedrijf Halborn herleidde de diefstal tot een opzet met één verifier en gehackte datanodes. Chainalysis koppelde de aanvallers aan de Lazarus Group uit Noord-Korea. Er is geen enkel contract doorbroken.
De tokens zonder dekking kwamen daarna op leenmarkten terecht. De aanvallers leverden 89.567 rsETH aan op Aave en leenden daar ongeveer $193 miljoen tegen.
Aave bevroor rsETH op 11 markten binnen een uur en bevroor WETH twee dagen later. BeInCrypto waarschuwde Aave WETH-suppliers diezelfde avond om hun geld eruit te halen, nog voordat die pools volledig gebruikt werden.
“Aave’s smart contracts zijn op geen enkel moment tijdens dit incident gecompromitteerd. Alle protocol-logica, inclusief supply, terugbetaling en liquidatie, bleef naar behoren werken.”
Het incidentrapport van Aave schatte de slechte schuld op $123,7 miljoen als verliezen gelijkmatig verdeeld werden. Als alleen de overgbrogde rsETH werd meegenomen, liep dit op tot $230,1 miljoen.
Waar leners op vertrouwen
Concurrerende protocollen vulden het gat bij. Een door een coalitie gefinancierd herstelplan verzamelde ongeveer 69.570 ETH aan toezeggingen, tegen een tekort van 75.081 ETH.
De Security Council van Arbitrum bevroor 30.765 ETH van de opbrengst, en de DAO gaf dat bedrag in juni vrij aan Aave. Er ligt nog wel een Amerikaanse rechterlijke uitspraak over deze bitcoins, aangevraagd door schuldeisers met vonnissen tegen Noord-Korea.
Deposanten zijn voorzichtiger dan de balans. Aave hield $12,5 miljard eind juni en deze week $18,1 miljard. AAVE wordt nu verhandeld rond $124, 3,8% lager dan gisteren.
Hetzelfde systeem zie je elders. Wrapped Bitcoin en andere ontvangstbewijs-tokens plaatsen ook altijd iets tussen een lener en het echte asset.
Drie dingen zijn belangrijk om te controleren voordat je zo’n token als onderpand gebruikt.
- Hoeveel onafhankelijke partijen moeten het bruggebruik van het token goedkeuren
- Of de leenmarkt geïsoleerd is of verliezen deelt met andere markten
- Of het onderpand een claim is op een andere claim
April gaf geen van deze antwoorden voor leners die hun toegang verloren. Het ging vooral over wat er gebeurt als je die vragen niet stelt.
