Después de los 16.500 millones de dólares en exploits, DeFi ahora se ve obligada a aceptar los controles a los que alguna vez resistió.
La crisis de rsETH resultó en 200 millones de dólares en deudas incobrables en los libros de Aave, a pesar de que ni una sola línea de sus contratos se comportó mal.
El 18 de abril, los atacantes que Chainalysis vinculó preliminarmente a Lazarus comprometieron la infraestructura RPC, forzaron una conmutación por error en nodos envenenados a través de DDoS e inyectaron datos falsos en una configuración DVN 1 de 1 en el puente rsETH de KelpDAO.
El mensaje falsificado liberó aproximadamente 116,500 rsETH, y el informe del incidente de Aave confirmó que Ethereum aceptó el nonce 308, mientras que el punto final fuente de Unichain nunca avanzó más allá de 307.
El atacante suministró el rsETH comprometido a Aave y tomó prestado contra él, lo que generó una deuda incobrable y sirvió como marco para el estado actual de la seguridad de DeFi.
Los explotadores extrajeron más de 635 millones de dólares en 28 incidentes en abril, el peor total mensual en más de un año. DefiLlama sitúa el coste histórico acumulado de los hackeos en 16.500 millones de dólares, de los cuales 7.700 millones de dólares están dirigidos específicamente a DeFi.
Los exploits de alto perfil en Drift y el puente KelpDAO provocaron que DeFi perdiera casi 11 mil millones de dólares en valor total bloqueado el mes pasado.
Esa contracción se produjo cuando los carriles de monedas estables, los tesoros tokenizados y las capas de liquidación reguladas ganaron tracción institucional en los mismos mercados de capital.
Los explotadores de DeFi extrajeron 635 millones de dólares en 28 incidentes en abril, la peor pérdida mensual del sector en más de un año, mientras que los ataques históricos acumulados alcanzaron los 16.500 millones de dólares.
¿Cómo acabó DeFi aquí?
Mitchell Amador, director ejecutivo de Immunefi, dijo a CryptoSlate que DeFi históricamente ha premiado el crecimiento, las integraciones, la liquidez y la velocidad por encima de la madurez de la seguridad.
Un protocolo que agrega un nuevo activo, puente, oráculo, adaptador o dependencia externa obtiene una utilidad inmediata. El riesgo que conlleva la integración no produce una señal de precio visible hasta que se materializa un exploit, porque la ausencia de un incidente es invisible mientras se mantiene.
Esa asimetría mantuvo los ciclos de auditoría y las prácticas de aislamiento en un segundo plano respecto de la velocidad de envío durante años, hasta que abril concentró las consecuencias en un solo mes.
Amador dijo que las prácticas más pasadas por alto fueron la higiene y la gestión de múltiples firmas, el fortalecimiento de la cadena de suministro, el monitoreo en tiempo real y los procedimientos de respuesta a emergencias.
Demasiados equipos trataron la multifirma como una solución de seguridad en sí misma, cuando su fortaleza real depende del número de firmantes, la independencia de esos firmantes, su configuración operativa y los procesos relacionados con la revisión de transacciones.
Una firma múltiple de umbral bajo, una seguridad de firmante débil o un puente u oráculo mal monitoreado pueden convertirse en una exposición sistémica porque los protocolos DeFi son componibles de forma predeterminada. En este panorama, el riesgo viaja a través de integraciones con tanta eficiencia como lo hace la liquidez.
Mientras esa cultura se formaba dentro de DeFi, en paralelo se construía un modelo diferente.
El director ejecutivo de Solstice Finance, Ben Nadareski, evaluó:
"La brecha en la producción por persona indica lo que sucede cuando se elimina todo lo que no es la función financiera central. Los equipos que ganen esta ronda serán los que se basen en el cumplimiento y la seguridad desde el primer día, listos para realizar envíos más rápido de lo que un banco puede convocar a una reunión al respecto".
DeFi construyó rieles componibles durante más de media década antes de que Wall Street los reconociera como la capa de infraestructura real del próximo sistema financiero.
El costo de esa temprana posición en el mercado fue una cultura de seguridad calibrada para la velocidad sobre la disciplina operativa.
Kasper Pawlowski, CTO de Euler Finance, menciona la dimensión de gobernanza del mismo fracaso en su análisis posterior al incidente.
Él dijo:
"DeFi trata la evaluación de riesgos como una decisión de incorporación única, cuando en realidad el riesgo es dinámico".
La configuración DVN 1 de 1 que permitió el exploit KelpDAO existió en producción durante años. Kelp dice que era el LayerZero predeterminado enviado y revisado en múltiples reuniones de integración, mientras que LayerZero dice que Kelp lo redujo.
Cualquiera que sea la cuenta que sea precisa, la configuración persistió sin marcar en cada integración con cada protocolo descendente. Desde entonces, LayerZero ha prohibido la configuración en todo el protocolo, reconociendo que permitir que su DVN actuara como único verificador de transacciones de alto valor fue un error.
etapa
que paso
Por qué importaba
Infraestructura RPC comprometida
Los atacantes comprometieron la infraestructura RPC vinculada a la configuración del puente rsETH
El ataque comenzó fuera de los contratos inteligentes centrales, lo que muestra cómo la infraestructura fuera de la cadena puede convertirse en el punto de entrada.
Conmutación por error forzada DDoS
El tráfico fue enviado a nodos envenenados mediante una conmutación por error forzada
Eso permitió a los atacantes controlar el entorno de datos visto por el verificador del puente.
Datos falsos inyectados en DVN 1 de 1
Los nodos envenenados alimentaron datos falsos en una configuración DVN de un solo verificador
Una configuración de verificador 1 de 1 significaba que no había una verificación independiente para detener el mensaje falsificado.
Mensaje puente falsificado aceptado
El mensaje falsificado liberó alrededor de 116,500 rsETH
Se acuñaron efectivamente garantías falsas para ponerlas en circulación
RSETH falso suministrado a Aave
El atacante depositó rsETH comprometido en Aave como garantía
Aave trató el activo como