"DeFi мертв": криптосообщество в смятении после крупнейшего взлома, который выявил риски системных сбоев

Взлом протокола Kelp DAO на сумму 292 миллиона долларов вызвал волну реакций в криптоиндустрии, причем разработчики и трейдеры предупреждают, что этот инцидент выявил более глубокие недостатки в том, как построена децентрализованная финансовая (DeFi) система.

Данные, предоставленные участниками рынка, показывают, что непосредственные последствия распространились далеко за пределы взломанного протокола.

"Взлом rsETH приводит к выводу средств из всех протоколов кредитования, даже на Solana и незатронутых протоколах", - написал 0xngmi в одном из сообщений в воскресенье, указывая на значительные оттоки, включая "Aave: -6,2 миллиарда (-23%) чистых поступлений", а также более мелкие, но заметные снижения в Morpho, Sky и JupLend. rsETH - это restaked ether от протокола Kelp DAO, который является токеном liquid restaking (LRT), позволяющим пользователям получать вознаграждения за стейкинг и restaking, сохраняя при этом ликвидность своих активов, даже если они заблокированы в стейкинге.

Это давление быстро переросло в нечто более серьезное. Один из широко распространенных постов от Josu San Martin описывал каскадные проблемы с ликвидностью в рынках кредитования: "$ETH-депозиторы не могут вывести $ETH, поэтому они берут стабильные монеты, чтобы "вывести" средства... Это настоящий отток средств из $AAVE".

Хотя основатель Aave, Stani Kulechov, заявил, что взлом был внешним и что контракты протокола не были скомпрометированы, вкладчики запаниковали. Общая стоимость заблокированных (или депозитов) средств снизилась с 26,4 миллиардов долларов 18 апреля до почти 20 миллиардов долларов в американское утреннее время в воскресенье, по данным DefiLlama. Токен $AAVE также упал более чем на 18%, поскольку вкладчики пытались вывести свои средства в выходные дни.

[Изображение: https://cnews24.ru/uploads/eb6/eb6a8bb49eb02a87af97dd15e6da283caff3dfcc.jpg]

"Учебный пример"

Сам взлом стал предметом пристального внимания инженеров и разработчиков.

Несколько разработчиков опровергли первоначальные предположения о том, что проблема возникла из-за основных инфраструктурных сбоев. "Взлом KelpDAO (около 290 миллионов долларов) - это НЕ ошибка протокола LayerZero. Это проблема конфигурации и учебный пример для каждого проекта, использующего кросс-чейн токены, который необходимо изучить сегодня", - говорится в одном из технических анализов от cryptogoblin.

В этой публикации подробно описано, как одна точка проверки позволила осуществить атаку. "Одна подпись и 116 500 rsETH появились из ниоткуда в Ethereum", - говорится в сообщении, в котором утверждается, что "проблема не в смарт-контрактах, а в слое проверки".

Другие утверждали, что проблема гораздо глубже, чем просто неправильная настройка.

Одна из критических замечаний, опубликованных пользователем Fishy Catfish в X, представила это как конструктивный недостаток, утверждая, что: «отсутствует минимальный уровень безопасности... Конфигурация может быть представлена как DVN (Decentralized Verifier Network) 1/1, и выбранный вами DVN может быть представлен в виде одного узла, управляемого одним субъектом». DVN (децентрализованная сеть валификаторов) в DeFi, в частности, в LayerZero V2, является независимой сущностью, ответственной за проверку и подтверждение подлинности сообщений, отправляемых между различными блокчейн-сетями. По сути, DVN проверяют хеши сообщений между исходной и целевой цепочками.

Чтобы сделать этот момент более понятным, автор привел аналогию из реального мира: «представьте, если производитель американских горок позволял паркам аттракционов самостоятельно определять минимальные требования безопасности». По сути, автор просто говорит о том, что гибкость без ограничений может создавать скрытые риски.

В публикации даже утверждалось, что проблема заключается в самой конструкции. «Я лично считаю, что это ошибочная конструкция. Модульная безопасность — это перспективное направление, однако, уровень безопасности должен иметь встроенный минимальный порог, который был бы достаточно высоким, а затем позволять дополнительное усиление безопасности для более важных сценариев использования».

«DeFi мертва»

Не только объем и сложность эксплойта вызвали резкую, паническую критику. Масштаб эксплойта усилил опасения.

Примерно 116 500 токенов rsETH, что составляет около 18% от общего предложения, были затронуты. Злоумышленник обманул межсетевой механизм обмена сообщениями LayerZero, заставив его поверить, что получено действительное сообщение от другой сети, что привело к тому, что мост Kelp выпустил 116 500 токенов rsETH на адрес, контролируемый злоумышленником.

Протоколы отреагировали заморозкой рынков и приостановкой функций. Aave приостановила операции с rsETH. Lido приостановила депозиты, связанные с этим активом. Другие проекты предприняли аналогичные шаги, чтобы ограничить воздействие, по мере развития ситуации.

Помимо технических дебатов, общее настроение в криптоиндустрии резко ухудшилось. Один из постов, возможно, наиболее точно отразил изменение настроения: «DeFi мертва... "просто используйте Aave" мертва», при этом добавлялось, что «эпоха криптовалют закончилась», и задавался вопрос: «Если вы это читаете, почему вы все еще в криптовалюте?»

Хотя реакция может показаться чрезмерной, такая «инстинктивная» реакция не является необычной после крупных эксплойтов, но масштаб этого события выделяется.

Атака затронула межсетевую инфраструктуру, модели рестейкинга и кредитные рынки одновременно. Это также произошло после серии недавних инцидентов. Этот взлом произошел в необычайно неблагоприятный период для DeFi, особенно в этом месяце. Протокол Solana-based perpetuals Drift был обнулен на сумму около 285 миллионов долларов в результате атаки, которая позже была связана с субъектами, связанными с Северной Кореей, и как минимум дюжина более мелких протоколов были скомпрометированы за последние недели, включая CoW Swap, Zerion, Rhea Finance и Silo Finance.

«Проверьте свои настройки»

Несмотря на все объяснения, вопросов пока больше, чем ответов.

Даже LayerZero все еще пытается выяснить все детали эксплойта. "Мы полностью осведомлены об эксплойте rsETH и активно работаем с командой @KelpDAO над устранением последствий с момента инцидента и продолжаем мониторинг. Все остальные приложения остаются в безопасности", - говорится в сообщении в X. "Мы все еще определяем первопричину вместе с @_SEAL_Org и другими. Мы опубликуем полный отчет вместе с @KelpDAO, как только у нас будет вся информация."

KelpDAO подтвердила это мнение. "Сегодня мы обнаружили подозрительную межсетевую активность, связанную с rsETH. Мы приостановили работу контрактов rsETH на основной сети и нескольких L2, пока мы проводим расследование. Мы работаем с @LayerZero_Core, @unichain, нашими аудиторами и ведущими экспертами по безопасности над выявлением первопричины. Мы будем держать вас в курсе, по мере того как мы будем узнавать больше об этой ситуации."

Тем не менее, некоторые разработчики видят более четкий урок в этом хаосе.

Эксплойт не был основан на взломе шифрования или обходе смарт-контрактов. Вместо этого он показал, насколько хрупкими могут быть системы, когда они зависят от многоуровневых предположений.

Проще говоря, инструменты работали так, как и были задуманы. Неправильно была выполнена их настройка.

Это различие может определить, что произойдет дальше. Разработчики сейчас призывают проекты пересмотреть свои настройки, особенно те, которые полагаются на межсетевые сообщения.

Как прямо выразился cryptogoblin: "Проверьте свои настройки. Будьте в безопасности."

Читайте далее: Доходность DeFi падает настолько сильно, что не может конкурировать с традиционным сберегательным счетом