Кризис rsETH призвів до появи $200 мільйонів шкідливої заборгованості на балансі Aave, хоч жодного рядка його контрактів не зруйнувався.
18 квітня зловмисники, яким за попередніми даними належать Chainalysis, напали на RPC інфраструктуру, примусили здійснити фейл-овер на заражених вузлах шляхом DDOS на KelpDAO rsETH місток, а потім встигли ввести шахрайські дані у 1-of-1 DVN конфігурацію.
Шахрайський повідомлення звільнило близько 116500 rsETH, тоді як Aave підтвердило прийняття NONCE 308, тоді як джерело Unichain ніколи не виходило далі 307.
Зловмисник надав заражених rsETH та боргово проти нього, що призвело до появи заборгованості та використовується як підстава для поточної ситуації безпеки DeFi.
Шахрайські видобуток перевищив $635 мільйонів у квітні, найгірший місяць за рік, де DefiLlama оцінює загальну історичну вартість хаків на $16,5 мільярда, з яких $7,7 мільярда спрямовано на DeFi.
Високопрофільні експлуати на Drift та місток KelpDAO призвели до втрат DeFi майже $11 мільярдів у загальному балансу.
Ця контракція відбулася під час стабільної системи, капіталовкладень, tokenizeд трезор, регулюється рівні капіталів на одному капіталі ринку.
DeFi шахраї видобули $635 мільйонів протягом 28 епізодів у квітні, найгірший місяць втрат за рік, тоді як загальна історична хаків досягла $16,5 мільярдів.
Як це відбулося з DeFi?
Мітчелл Амадор, генеральний директор Immunefi, сказав CryptoSlate, що DeFi історично нагороджував зростання, інтеграції, ліквідність та швидкість за рахунок безпеки зрілості.
Протокол, який додає новий актив, місток, oracle, адаптер або зовнішній залежність отримує прямий користь Ризик інтеграції не створює видимого сигналу до того, як експлуат матеріалізується, оскільки відсутність інцидента невидима, поки вона триває.
Той самий асиметричний зберігав цикли аудиту та ізоляційні практики в другорядному порядку щодо швидкості відправлення протягом багатьох років, поки квітень сконцентрував наслідки у один місяць.
Амадор сказав, що найбільш недооцінені практики — це гігієна мультипідпису та управління, зміцнення ланцюга поставок, реальне спостереження та процедури екстреної допомоги.
Деякі команди розглядали мультипідпис як рішення із безпеки самого по собі, тоді як його справжнє зміцнення залежить від кількості підписантів, незалежності тих підписантів, їхньої операційної конфігурації та процесу огляду транзакцій.
Низька порога мультипідпису, слабка підписна безпека або погано спостережуваний місток або oracle можуть стати системним експозитуванням, оскільки протоколи DeFi з’єднані за умовчанням
У цьому ландшафті ризики передають через інтеграції з тією ж ефективністю, як і ліквідність.
В той час, коли ця культура формувалася всередині DeFi, інший досвід був збудований паралельно.
“Різниця між виходом на один людину вказує, чого відбувається після того, як ви видаляєте все, що не належить до основної фінансової функції Команди, які виграють цей раунд будуть ті команди, які були побудовані на дотриманні регулювання та безпеки з самого початку, готові виконувати швидше за часом, ніж банки можуть навіть скликати на засідання.”
Ця команда будувала складові залізниці протягом півтора десятиліття до того, як Wall Street розпізнав їх як справжнє інфраструктурне рівня наступної фінансової системи.
Стоимость цього ранніх місця розташування була культурою безпеки, розрахованої на швидкість за рахунок дисципліни виконання.
Каспер Павловський, головний технічний офіцер Фінансів, назвав такий самий збій в управлінні після інциденту:
“DeFi розглядають ризику як однечасовий процес прийняття рішень, тоді як насправді ризики динамічні.”
1-of-1 DVN конфігурація, яка зробила KelpDAO експлуат можливою була у виробництві протягом багатьох років
Кельп каже що він був дефолтним LayerZero відправленням та оглядовим, тоді як LayerZero каже, що Кельп знижував його.
Сюди чи не далі, справжній рахунок є невідомим Але що важливо, конфігурація залишалася невідомою протягом кожного інтеграції з кожним протоколом нижнього рівня
LayerZero повідомляє про те, що дозволив своєму DVN виконувати роль єдиної перевірника високоцінних транзакцій, був помилкою.
Стадія What відбулося Чому воно було важливо RPC інфраструктура була захоплена Зловмисники захопили RPC інфраструктуру, пов’язану з rsETH містком Вибух розпочався поза основними контрактами, виявляючи, як зовнішня інфраструктура може стати входом для експлуатації DDoS примусив відбуватися змінення на заражених вузлах Трафік був відправлений на заражених вузлах за допомогою примусової зміни на KelpDAO містку
Тоді зловмисники контролювали середовище даних, яке бачив місток-verifier Шахрайські дані були вбудовані в 1-of-1 DVN конфігурацію Погані вузли годували шахрайські дані у конфігурацію 1-of-1 verifier, яка була встановлена лише одним перевірником
Прихід однієї-verifier встановлення означав відсутності незалежної перевірки зупинити шахрайське повідомлення Шахрайське повідомлення було прийнято Фальшівка виводила близько 116500 rsETH Фальшивий залог був виготовлений та виданий в обіг Зловмисник відправив заражені rsETH до Aave Зловмисник відправив заражені rsETH на Aave як залог
Aave вважав актив справжнім і дозволяв відправляти залог проти нього Кредитування створювало заборгованість Більшість із того, що зроблений зловмисником був залишено на Aave, після чого він залишився з майже $200 мільйонів заборгованості Втрати містка були соціалізовані у спільній базі даних
Більш важливо, критичний місток безпеки був нормалізований протягом усієї залежної ланки до того, як був відкритий $292 мільйонний експлуат.
“Ці оперативні машини, які побудовані Дефі — це управління DAO, зовнішній ризик служби, та місячних оглядових циклів — швидко не рухаються, такі як ризикова поверхня під ними У багатьох випадках ті, хто виконує огляди, не мають структурової незалежності від активів, які вони оглядають.” Цей стратичний конфлікт призвів до конкретної відмови управління, яку розкрила Pawlowski
Пропозиція відновлення 25,000 ETH скарбниці Aave була підготовлений TokenLogic, платне підприємство Aave, яке публічно видає Кельп як клієнта та керує Ааве-делегаторським платформою.
За межами цього, TokenLogic — це саме підприємство, яке голосувало за своїми власними пропозиціями Того ж дня Aave розширилася до 93% кредитування за вартістю у еMode, тоді як SparkLend скасував актив цілком, поєднавши це зі звичайним видаленням непотрібних позицій.
Через три місяці було залишено лише одне розмежування між депозиторами Spark і заборгованістю, яку тепер не
За матеріалами CryptoSlate