Die Einlagen auf Aave beliefen sich zum Zeitpunkt dieser Veröffentlichung auf 18,1 Milliarden US-Dollar. Das sind etwa 31 % weniger als die 26,1 Milliarden US-Dollar, die dort am Tag vor dem Kelp-Hack im April lagen, wie Daten von DefiLlama zeigen.
Der eigene Code des Kreditgebers versagte nie. Versagt hat die Besicherung der Kredite – an einer Stelle, die diese Kreditverträge nicht überprüfen konnten.
Was der Kelp-Hack tatsächlich beschädigte
Am 18. April zielten die Angreifer darauf ab, wie die Cross-Chain-Bridge von Kelp DAO eingehende Nachrichten überprüfte – nicht auf die Kreditlogik. Kelp ist ein Liquid-Restaking-Protokoll, und rsETH ist dessen Anspruchstoken.
Wer rsETH hält, hält kein Ether. Er hält einen Anspruch auf gestaktes Ether, und dieser Anspruch wurde zunächst über eine Bridge übertragen. Die Angreifer manipulierten die Datenfeeds, denen diese Bridge vertraute, und schleusten eine gefälschte Nachricht ein. Dadurch wurden 116.500 rsETH im Wert von rund 292 Millionen US-Dollar freigegeben – fast 18 % des Token-Angebots –, ohne dass etwas dahinterstand.
Die Sicherheitsfirma Halborn führte den Diebstahl auf eine Konfiguration mit nur einem Verifizierer und gekaperte Datennodes zurück. Chainalysis brachte die Angreifer mit der nordkoreanischen Lazarus Group in Verbindung. Kein Smart Contract wurde geknackt.
Die nicht gedeckten Token gelangten anschließend in Kreditmärkte. Die Angreifer hinterlegten 89.567 rsETH auf Aave und liehen sich dagegen rund 193 Millionen US-Dollar.
Aave fror rsETH innerhalb einer Stunde auf 11 Märkten ein und zwei Tage später auch WETH. BeInCrypto warnte Einleger in Aave-WETH-Pools noch am selben Abend vor Abhebungen – Stunden bevor diese Pools vollständig ausgelastet waren.
„Die Smart Contracts von Aave wurden während dieses Vorfalls zu keinem Zeitpunkt kompromittiert. Die gesamte Protokolllogik, einschließlich der Mechanismen für Einzahlungen, Rückzahlungen und Liquidationen, funktionierte weiterhin wie vorgesehen.“
Laut Aaves Vorfallsbericht beliefen sich die Forderungsausfälle auf 123,7 Millionen US-Dollar, wenn die Verluste gleichmäßig verteilt würden. Bei gesonderter Betrachtung des gebridgten rsETH stieg der Betrag auf 230,1 Millionen US-Dollar.
Worauf Kreditnehmer vertrauen
Konkurrenzprotokolle stopften die Lücke. Ein von einem Bündnis finanzierter Wiederherstellungsplan sammelte Zusagen über rund 69.570 ETH, um ein Defizit von 75.081 ETH auszugleichen.
Der Sicherheitsrat von Arbitrum fror 30.765 ETH der Erlöse ein, und die DAO gab diesen Betrag im Juni an Aave frei. Ein US-Gerichtsbeschluss, den Gläubiger mit gegen Nordkorea erwirkten Urteilen beantragt haben, schwebt weiterhin über dem Geld.
Die Einleger haben weniger schnell verziehen, als es die Bilanz vermuten lässt. Ende Juni verwaltete Aave 12,5 Milliarden US-Dollar, diese Woche waren es 18,1 Milliarden. AAVE wird bei rund 124 US-Dollar gehandelt, ein Minus von 3,8 % am Tag.
Dieselbe Struktur findet sich auch anderswo. Wrapped Bitcoin und andere Anspruchstoken schieben allesamt etwas zwischen Kreditnehmer und Vermögenswert.
Bevor man eines davon als Sicherheit hinterlegt, sollte man drei Dinge prüfen.
- Wie viele unabhängige Parteien die Bridge des Tokens absegnen müssen
- Ob der Kreditmarkt isoliert ist oder Verluste mit benachbarten Märkten teilt
- Ob die Sicherheit eine Forderung auf eine andere Forderung ist
April beantwortete keine dieser Fragen für Kreditnehmer, die den Zugang verloren hatten. Es zeigte, was es kostet, diese Fragen nicht zu stellen.
Quelle: BeInCrypto
