Die DeFi-Stabilität erschütterte sich, als Aave nach dem Kelp-DAO-Sicherheitsverstoß am Rande eines massiven 230-Millionen-Dollar-Einbruchs stand

Der Kelp DAO- und LayerZero-Bridge-Exploit am Wochenende hat dazu geführt, dass das Kreditprotokoll Aave potenzielle Verluste von bis zu 230 Millionen US-Dollar erleiden muss, je nachdem, wie die Situation gelöst wird.

Laut einem im Aave-Governance-Forum veröffentlichten Bericht von Aave Labs und dem Dienstleister LlamaRisk dreht sich der Vorfall um rsETH, einen von KelpDAO herausgegebenen Liquid-Restapping-Token. Um rsETH zwischen Blockchains zu verschieben, basiert das Protokoll auf einem Brückenmechanismus, der Token in einer Kette sperrt und gleichzeitig entsprechende Kopien in einer anderen ausgibt.

Ein Angreifer nutzte dieses Setup aus, indem er eine scheinbar gültige Übertragungsnachricht fälschte. Das System genehmigte die Übertragung, obwohl die Token nie aus der Sendekette genommen wurden, was bedeutet, dass neue Token effektiv ohne Unterstützung erstellt wurden und 116.500 rsETH von der Ethereum-seitigen Brücke freigegeben wurden.

Anstatt die Vermögenswerte auf dem freien Markt zu verkaufen, hinterlegte der Angreifer 89.567 rsETH als Sicherheit bei Aave und lieh sich dem Bericht zufolge etwa 190 Millionen US-Dollar an ETH und damit verbundenen Vermögenswerten bei Ethereum und Arbitrum. Dadurch ist Aave Sicherheiten ausgesetzt, deren Besicherung erheblich beeinträchtigt sein könnte.

Aave Labs sagte, es habe schnell gehandelt, um das Risiko einzudämmen. Innerhalb weniger Stunden fror das Protokoll die rsETH-Märkte für alle seine Einsätze ein, setzte das Beleihungsverhältnis auf Null und stoppte die Aufnahme neuer Kredite für den Vermögenswert.

Das Ergebnis hängt nun weitgehend davon ab, wie Kelp mit dem Defizit umgeht. Wenn sich die Verluste auf alle rsETH-Inhaber verteilen, würde die Bindung des Tokens um schätzungsweise 15 % aufgehoben (was bedeutet, dass der Wert der eingesetzten Token nicht dem Wert des tatsächlichen ETH-Dollars entsprechen würde), was zu etwa 124 Millionen US-Dollar an Forderungsausfällen für Aave führen würde. Würden sich die Verluste stattdessen auf Layer-2-Netzwerke beschränken, wären die Auswirkungen weitaus gravierender, da die Forderungsausfälle auf etwa 230 Millionen US-Dollar ansteigen würden und sich auf Netzwerke wie Arbitrum und Mantle konzentrieren würden.

Der Exploit resultierte aus Schwachstellen bei der Überprüfung kettenübergreifender Nachrichten durch Kelp mithilfe von LayerZero. Durch die Manipulation dieses Prozesses konnte der Angreifer bestimmte Vermögenswerte als vollständig abgesichert erscheinen lassen, obwohl dies nicht der Fall war, und so Wert aus dem System ziehen. LayerZero selbst wurde nicht direkt gehackt, aber seine Nachrichtenschicht enthüllte fehlerhafte Annahmen darüber, wie Kelp kettenübergreifende Daten validierte.

Der Vorfall ließ Bedenken aufkommen, dass einige Positionen auf Aave durch falsch bewertete oder nicht mehr vollständig besicherte Sicherheiten abgesichert waren, was das Risiko unterbesicherter Kredite erhöhte.

Als Reaktion darauf haben die Benutzer Maßnahmen ergriffen, um die Exposition zu reduzieren. Nach dem Vorfall wurden rund 6 Milliarden US-Dollar an insgesamt gesperrtem Wert von Aave abgezogen, was einen breiten Rückgang widerspiegelt, als die Teilnehmer auf die Unsicherheit reagierten.

In der Folge wurde die indirekte Gefährdung durch externe Systeme hervorgehoben. Die Auswirkungen machten sich durch ein erhöhtes Sicherheitenrisiko, einen Druck auf die Kreditpositionen und einen starken Rückgang der Einlagen bemerkbar, da die Benutzer die Sicherheit der miteinander verbundenen DeFi-Infrastruktur neu bewerteten.

In dem Bericht heißt es, dass das DAO-Finanzministerium etwa 181 Millionen US-Dollar an Vermögenswerten hält und dass Gespräche mit Ökosystemteilnehmern im Gange sind, um potenzielle Verluste zu beheben. Kelp hat noch nicht dargelegt, wie es die Verluste verteilen will, so dass das endgültige Risiko von Aave ungewiss ist, da sich die Situation weiter weiterentwickelt.

Weiterlesen: Kelp DAO behauptet, dass die „Standard“-Einstellungen von LayerZero tatsächlich die Ursache für die gewaltige 290-Millionen-Dollar-Katastrophe waren