Nach den Exploits in Höhe von 16,5 Milliarden US-Dollar wird DeFi nun zu den Kontrollen gezwungen, denen es sich einst widersetzte
Die rsETH-Krise führte zu uneinbringlichen Schulden in Höhe von 200 Millionen US-Dollar in den Büchern von Aave, obwohl keine einzige Zeile seiner Verträge fehlerhaft war.
Am 18. April kompromittierten Angreifer, die Chainalysis vorläufig mit Lazarus in Verbindung brachte, die RPC-Infrastruktur, erzwangen über DDoS einen Failover auf vergiftete Knoten und injizierten falsche Daten in eine 1-von-1-DVN-Konfiguration auf der rsETH-Brücke von KelpDAO.
Die gefälschte Nachricht gab ungefähr 116.500 rsETH frei, und der Vorfallbericht von Aave bestätigte, dass Ethereum Nonce 308 akzeptierte, während der Unichain-Quellendpunkt nie über 307 hinausging.
Der Angreifer lieferte das kompromittierte rsETH an Aave und nahm Kredite auf, was zu Forderungsausfällen führte und als Rahmen für den aktuellen Sicherheitszustand von DeFi diente.
Die Täter erbeuteten im April bei 28 Vorfällen über 635 Millionen US-Dollar, die schlechteste Monatssumme seit über einem Jahr. DefiLlama beziffert die kumulierten historischen Kosten von Hacks auf 16,5 Milliarden US-Dollar, wobei 7,7 Milliarden US-Dollar speziell auf DeFi abzielen.
Die aufsehenerregenden Exploits auf Drift und der KelpDAO-Brücke führten dazu, dass DeFi im letzten Monat fast 11 Milliarden US-Dollar an Gesamtwert verlor.
Dieser Rückgang erfolgte, als Stablecoin-Schienen, tokenisierte Staatsanleihen und regulierte Abwicklungsschichten auf denselben Kapitalmärkten institutionelle Zugkraft erlangten.
DeFi-Ausbeuter erbeuteten im April bei 28 Vorfällen 635 Millionen US-Dollar, der größte monatliche Verlust der Branche seit über einem Jahr, während die kumulierten historischen Hacks 16,5 Milliarden US-Dollar erreichten.
Wie ist DeFi hierher gekommen?
Mitchell Amador, CEO von Immunefi, sagte gegenüber CryptoSlate, dass DeFi in der Vergangenheit Wachstum, Integration, Liquidität und Geschwindigkeit gegenüber Sicherheitsreife belohnt habe.
Ein Protokoll, das ein neues Asset, eine neue Bridge, ein neues Oracle, einen neuen Adapter oder eine neue externe Abhängigkeit hinzufügt, ist sofort nützlich. Das mit der Integration verbundene Risiko erzeugt kein sichtbares Preissignal, bis ein Exploit eintritt, da das Fehlen eines Vorfalls unsichtbar ist, solange es besteht.
Diese Asymmetrie sorgte jahrelang dafür, dass Prüfungszyklen und Isolationspraktiken der Versandgeschwindigkeit untergeordnet waren, bis sich die Folgen im April auf einen einzigen Monat konzentrierten.
Amador sagte, die am häufigsten übersehenen Praktiken seien Multisig-Hygiene und -Management, die Stärkung der Lieferkette, Echtzeitüberwachung und Notfallreaktionsverfahren.
Zu viele Teams betrachteten Multisig als eigenständige Sicherheitslösung, obwohl ihre tatsächliche Stärke von der Anzahl der Unterzeichner, der Unabhängigkeit dieser Unterzeichner, ihrer betrieblichen Einrichtung und den Prozessen rund um die Transaktionsüberprüfung abhängt.
Ein Multisig mit niedrigem Schwellenwert, eine schwache Sicherheit des Unterzeichners oder eine schlecht überwachte Brücke oder Oracle können zu einer systemischen Gefährdung werden, da DeFi-Protokolle standardmäßig zusammensetzbar sind. In diesem Umfeld wird das Risiko durch Integrationen genauso effizient übertragen wie die Liquidität.
Während sich diese Kultur innerhalb von DeFi herausbildete, wurde parallel ein anderes Modell aufgebaut.
Ben Nadareski, CEO von Solstice Finance, bewertete:
„Die Lücke in der Leistung pro Person sagt Ihnen, was passiert, wenn Sie alles weglassen, was nicht zur Kernfinanzfunktion gehört. Die Teams, die diese Runde gewinnen, werden diejenigen sein, die vom ersten Tag an auf Compliance und Sicherheit aufgebaut sind und schneller versandbereit sind, als eine Bank eine Besprechung dazu einberufen kann.“
DeFi baute über ein halbes Jahrzehnt lang zusammensetzbare Schienen, bevor die Wall Street sie als die eigentliche Infrastrukturschicht des nächsten Finanzsystems erkannte.
Der Preis dieser frühen Marktposition war eine Sicherheitskultur, die auf Schnelligkeit statt operativer Disziplin ausgerichtet war.
Kasper Pawlowski, CTO von Euler Finance, benennt in seiner Post-Incident-Analyse die Governance-Dimension desselben Versagens.
Er sagte:
„DeFi behandelt die Risikobewertung als eine einmalige Onboarding-Entscheidung, obwohl das Risiko in Wirklichkeit dynamisch ist.“
Die 1-von-1-DVN-Konfiguration, die den KelpDAO-Exploit ermöglichte, existierte jahrelang in der Produktion. Laut Kelp handelte es sich dabei um den Standard-LayerZero, der in mehreren Integrationsbesprechungen ausgeliefert und überprüft wurde, während Kelp laut LayerZero darauf zurückgestuft hat.
Welches Konto auch immer korrekt ist, die Konfiguration blieb bei jeder Integration mit jedem Downstream-Protokoll unverändert bestehen. LayerZero hat die Konfiguration inzwischen protokollweit verboten und eingeräumt, dass es ein Fehler war, seinem DVN als einziger Verifizierer für Transaktionen mit hohem Wert zu erlauben.
Bühne
Was ist passiert?
Warum es wichtig war
RPC-Infrastruktur gefährdet
Angreifer haben die RPC-Infrastruktur kompromittiert, die mit dem Aufbau der rsETH-Brücke verbunden ist
Der Angriff begann außerhalb der Kern-Smart-Contracts und zeigte, wie Off-Chain-Infrastruktur zum Einstiegspunkt werden kann
DDoS erzwungenes Failover
Durch ein erzwungenes Failover wurde der Datenverkehr auf vergiftete Knoten weitergeleitet
Dadurch konnten Angreifer die vom Bridge-Verifizierer erkannte Datenumgebung kontrollieren
Falsche Daten in 1-von-1-DVN eingeschleust
Vergiftete Knoten haben falsche Daten in eine DVN-Konfiguration mit einem einzigen Verifizierer eingespeist
Ein 1-von-1-Prüfer-Setup bedeutete, dass es keine unabhängige Prüfung gab, um die gefälschte Nachricht zu stoppen
Gefälschte Bridge-Nachricht akzeptiert
Die gefälschte Nachricht gab etwa 116.500 rsETH frei
Es wurden gefälschte Sicherheiten in Umlauf gebracht
Gefälschtes rsETH an Aave geliefert
Der Angreifer hinterlegte kompromittiertes rsETH als Sicherheit bei Aave
Aave behandelte den Vermögenswert a