Как у пользователей Aave украли $177 млн
На днях произошёл инцидент, в ходе которого мошенники смогли извлечь из DeFi более $100 млн, скомпрометировав лишь 1 механизм проверки сообщений
👂 Как развивались события
🌴Мошенники получили доступ к конкретному механизму верификации сообщений LayerZero
🌴Отправили поддельное сообщение о выпуске необеспеченных 116,500 $rsETH (LRT KelpDAO) и сами же его подтвердили
🌴Получив 18% от общего предложения $rsETH ($292 млн), мошенники использовали их в качестве залога на Aave и заняли $WETH и $wstETH на $177 млн
🌴Далее последовал отмыв украденных средств через миксеры и ThorChain
👍 Кто виноват?
Мост L0 и другие архитектуры работали исправно. Проблема в том, что KelpDAO использовали базовую конфигурацию с одним верификатором сообщений, в то время как крупные протоколы обычно используют 2 и более, чтобы усложнить возможный взлом
В итоге получилась ситуация, где один элемент стал точкой отказа для всей системы. Вопрос, как протокол с TVL более $1 млрд допустил такую структуру, остаётся открытым
🖐️ Последствия
🎋После взлома пользователи Aave вывели более $10 млрд
🎋Стейкеры $WETH в модуле безопасности Aave понесли убытки, так как в протоколе образовался непокрытый долг в $177 млн
🎋Держатели $rsETH в убытке из-за отвязки цены от $ETH. Сильнее всего пострадал $rsETH в L2 сетях из-за недостатка обеспечения в основной сети
🎋Также пострадали и другие протоколы, использовавшие $rsETH
🐦🔥А самое главное, это подрыв доверия к DeFi, в частности к Aave, KelpDAO, L0 и другим протоколам
🔥 — Доходность DeFi соответствует рискам
🐳 — Риск не оправдан доходностью
Telegram | Чат | W3E Прокси
На днях произошёл инцидент, в ходе которого мошенники смогли извлечь из DeFi более $100 млн, скомпрометировав лишь 1 механизм проверки сообщений
👂 Как развивались события
🌴Мошенники получили доступ к конкретному механизму верификации сообщений LayerZero
🌴Отправили поддельное сообщение о выпуске необеспеченных 116,500 $rsETH (LRT KelpDAO) и сами же его подтвердили
🌴Получив 18% от общего предложения $rsETH ($292 млн), мошенники использовали их в качестве залога на Aave и заняли $WETH и $wstETH на $177 млн
🌴Далее последовал отмыв украденных средств через миксеры и ThorChain
👍 Кто виноват?
Мост L0 и другие архитектуры работали исправно. Проблема в том, что KelpDAO использовали базовую конфигурацию с одним верификатором сообщений, в то время как крупные протоколы обычно используют 2 и более, чтобы усложнить возможный взлом
В итоге получилась ситуация, где один элемент стал точкой отказа для всей системы. Вопрос, как протокол с TVL более $1 млрд допустил такую структуру, остаётся открытым
🖐️ Последствия
🎋После взлома пользователи Aave вывели более $10 млрд
🎋Стейкеры $WETH в модуле безопасности Aave понесли убытки, так как в протоколе образовался непокрытый долг в $177 млн
🎋Держатели $rsETH в убытке из-за отвязки цены от $ETH. Сильнее всего пострадал $rsETH в L2 сетях из-за недостатка обеспечения в основной сети
🎋Также пострадали и другие протоколы, использовавшие $rsETH
🐦🔥А самое главное, это подрыв доверия к DeFi, в частности к Aave, KelpDAO, L0 и другим протоколам
🔥 — Доходность DeFi соответствует рискам
🐳 — Риск не оправдан доходностью
Telegram | Чат | W3E Прокси