LayerZero mengatakan pengaturan Kelp menyebabkan eksploitasi, sementara pertanyaan kerugian Aave terus meningkat

Protokol interoperabilitas LayerZero mengklaim bahwa pengaturan yang tidak memadai terkait dengan jaringan verifikasi terdesentralisasi (DVN) Kelp memungkinkan pelaku jahat mencuri $290 juta dari Kelp DAO, menambahkan bahwa tanda-tanda awal menunjuk ke pelaku ancaman yang terkait dengan Korea Utara.

Seorang penyerang menguras sekitar 116.500 Restaked ETH (rsETH), senilai sekitar $292-$293 juta pada saat itu, dari jembatan rsETH Kelp DAO yang didukung LayerZero pada hari Sabtu.

LayerZero mengatakan pada hari Senin bahwa eksploitasi berasal dari satu titik kegagalan dalam pengaturan Kelp, yang mengandalkan satu DVN LayerZero sebagai satu-satunya jalur terverifikasi, meskipun LayerZero sebelumnya telah menyarankan mereka untuk tidak melakukan hal ini.

Dalam praktiknya, itu berarti Kelp mengandalkan jalur verifikasi tunggal untuk pesan lintas rantai daripada memerlukan beberapa pemeriksaan independen.

Eksploitasi dengan cepat mengalihkan perhatian dari penyebab teknis ke pertanyaan siapa yang harus menyerap kerugian, sementara dampaknya menyebar ke Aave, di mana penyerang menggunakan rsETH sebagai jaminan untuk meminjam likuiditas nyata.

Total value locked (TVL) Aave telah turun sekitar $8,9 miliar menjadi $17,5 miliar pada saat penulisan setelah pelaku eksploitasi menggunakan dana curian untuk meminjam di Aave, meninggalkan sekitar $195 juta dalam "utang macet," memicu penarikan pada protokol peminjaman.

LayerZero mengatakan jembatan rsETH Kelp hanya mengandalkan LayerZero Labs DVN, dan berargumen bahwa insiden tersebut mencerminkan konfigurasi aplikasi yang tidak aman daripada kompromi LayerZero itu sendiri. Perusahaan mengatakan sekarang mendesak semua aplikasi yang menggunakan pengaturan 1/1 DVN untuk bermigrasi ke konfigurasi multi-DVN dan akan berhenti menandatangani atau mengesahkan pesan untuk aplikasi yang mempertahankan desain verifikasi tunggal.

Kerugian memicu pertarungan saling menyalahkan setelah eksploitasi Kelp $290 juta

Tanpa rencana pemulihan atau kompensasi yang diumumkan, pengguna dan pengamat pasar menghabiskan hari Senin memperdebatkan apakah kerugian harus ditanggung oleh Kelp DAO, LayerZero, Aave atau pemegang rsETH sendiri.

Yishi Wang, pendiri dan CEO dompet perangkat keras sumber terbuka OneKey, mengatakan bahwa jalan terbaik ke depan adalah bernegosiasi dengan peretas, menawarkan hadiah 10% hingga 15%, dan mendapatkan kembali sebagian besar dana.

"Jika negosiasi gagal, dana ekosistem LayerZero harus membayar sebagian besar tagihan—ini memiliki kantong terdalam dan keterlibatan jangka panjang paling besar dalam permainan," tulis sang pendiri dalam postingan X hari Senin, menambahkan bahwa Kelp DAO "bangkrut" dan dapat mengimbanginya dengan token dan pendapatan masa depan, atau mempertimbangkan untuk menjual proyek tersebut.

Pendiri pseudonim platform analitik DeFiLlama, 0xngmi, menguraikan tiga solusi, termasuk opsi untuk "mensosialisasikan" kerugian di antara semua pengguna, "menipu pemegang rsETH di L2," atau mencoba mengembalikan saldo pemegang ke snapshot pra-peretasan, yang akan "sangat sulit dilakukan," tulisnya dalam postingan X hari Senin.

Cointelegraph menghubungi Aave untuk komentar, tetapi belum menerima tanggapan hingga publikasi.

Terkait: Penyerang Hyperbridge mencetak 1 miliar token Polkadot terjembatan dalam eksploitasi $237 ribu

Eksploitasi meningkatkan risiko likuidasi Aave

Kekhawatiran investor tentang eksploitasi Kelp telah secara signifikan mengurangi likuiditas Ether (ETH) di Aave, aset jaminan inti protokol peminjaman.

Likuiditas rendah ini menghadirkan "risiko keselamatan kritis di mana likuidasi jaminan ETH tidak dapat terjadi sementara pasar berada pada pemanfaatan 100%," kata MoneySupply, kepala strategi pseudonim di protokol peminjaman pesaing Aave Spark, dalam postingan X hari Sabtu.

"Dengan kondisi illikuiditas saat ini di Aave, penurunan harga ETHUSD 15-20% dapat menyebabkan akumulasi utang macet yang signifikan (di atas masalah potensial apa pun yang disebabkan oleh eksploitasi rsETH langsung)," katanya.

Aave mengatakan segera membekukan semua rsETH di Aave v3 dan V4, mencegah kerusakan lebih lanjut. Kontrak pintar Aave sendiri tidak dieksploitasi.

Majalah: Bertemu dengan detektif kripto onchain yang memerangi kejahatan lebih baik daripada polisi