Un pic d'emprunt de 300 millions de dollars sur Aave signale une crise de liquidité après un exploit

Les répliques du piratage KelpDAO de samedi se propagent sur les marchés des pièces stables d'une manière qui n'était pas immédiatement évidente.

Dans les 24 heures qui ont suivi l'attaque, les utilisateurs d'Aave ont emprunté environ 300 millions de dollars contre leurs dépôts de stablecoin sur la plate-forme, selon les données de Chaos Labs.

La hausse des emprunts n’est pas un signe de demande ; c'est un signe que les utilisateurs ne peuvent pas se retirer. Les pools de pièces stables étant au maximum, les déposants contractent des prêts à perte sur leurs propres fonds simplement pour accéder à des liquidités.

Pensez-y de cette façon : imaginez une banque refusant de traiter les demandes de retrait de dépôt fiduciaire des clients. Alors, en désespoir de cause, les clients contractent des emprunts sur ces dépôts. Cette création de crédit n’est pas saine, mais constitue une démarche désespérée pour obtenir des liquidités.

"Nous constatons maintenant des effets secondaires négatifs de l'illiquidité sur les marchés des stablecoins d'Aave", a déclaré monetsupply.eth, responsable pseudonyme de la stratégie chez Spark, une plateforme de prêt rivale DeFi. "Comme les utilisateurs ne peuvent pas se retirer en raison d'une utilisation à 100 %, il y a eu une augmentation d'environ 300 millions de dollars des emprunts avec la garantie $USDT au cours de la dernière journée depuis l'exploit rsETH."

Pour comprendre comment un seul exploit sur KelpDAO a fini par verrouiller simultanément chaque sortie de stablecoin sur Aave, vous devez comprendre comment le système est censé fonctionner – et exactement où il s'est cassé.

Qu'est-ce qu'Aave et comment il est censé fonctionner

Aave est un protocole de finance décentralisée (DeFi) qui permet aux utilisateurs de prêter et d'emprunter des crypto-monnaies sans intermédiaires. Considérez-la comme une banque, sauf qu’elle fonctionne entièrement sur du code sur une blockchain publique, sans gardiens humains.

Les utilisateurs déposent des actifs dans des pools de prêts et gagnent des intérêts. D’autres empruntent auprès de ces mêmes pools en fournissant des actifs cryptographiques en garantie, ce qui dépasse le montant du prêt. Le système est conçu pour s’auto-corriger automatiquement en fonction des taux d’intérêt. Lorsque de nombreuses personnes souhaitent emprunter, les taux augmentent, ce qui rend les emprunts plus chers et encourage les prêteurs à déposer davantage. Quand la demande baisse, les tarifs baissent.

L’ensemble du système fonctionne sur une hypothèse fondamentale : qu’il y ait toujours suffisamment de liquidités – suffisamment d’actifs dans le pool – pour que les prêteurs puissent retirer leurs dépôts quand ils le souhaitent, et pour que les emprunteurs puissent liquider leurs positions quand ils en ont besoin.

Lorsque cette hypothèse s’effondre, tout le reste s’effondre. C'est ce qui s'est passé après l'exploit KelpDAO.

rsETH et l'exploit KelpDAO

rsETH est un jeton éther de re-staking liquide émis par KelpDAO.

Lorsque vous misez sur de l'éther ($ETH), vous le verrouillez pour contribuer à sécuriser le réseau Ethereum en échange d'un rendement, similaire à celui des intérêts sur une obligation. Certains protocoles émettent un jeton de jalonnement liquide (LST) qui représente votre $ETH misé.

Le re-staking va encore plus loin, en réutilisant ces actifs déjà mis en jeu pour sécuriser des systèmes supplémentaires, empilant ainsi efficacement rendement sur rendement. En retour, vous recevez un jeton de reçu représentant votre position. rsETH est l’un de ces jetons de reçu et il a été largement utilisé comme garantie dans le monde DeFi.

Le 18 avril, un attaquant a manipulé l'infrastructure de pont de KelpDAO pour libérer 116 500 rsETH, soit environ 18 % de l'offre en circulation du jeton, d'une valeur d'environ 292 millions de dollars. Ces faux jetons non garantis ont été immédiatement déposés dans des protocoles de prêt, principalement Aave, pour emprunter de vrais $ ETH et d'autres actifs tels que l'éther enveloppé (wETH) contre eux. De faux jetons entrants, de l'argent réel sortant.

"Ce WETH [emprunté] a disparu. Le rsETH qui tient sa place dans les coffres vaut ce que vaut une réclamation non garantie - approchant de zéro du côté L2, où plus de 20 chaînes détiennent du rsETH ponté soutenu par un coffre-fort du réseau principal désormais vide", a déclaré 0xyanshu, un opérateur de cryptographie pseudonyme connu pour son travail autour de la finance et des risques en chaîne.

Aave a gelé les marchés rsETH sur V3 et V4 en quelques heures, le fondateur Stani Kulechov affirmant que l'exploit était externe et que les contrats d'Aave n'étaient pas compromis. Ce gel a arrêté le saignement. Mais cela a également déclenché une réaction en chaîne qui a entraîné une hausse des emprunts de 300 millions de dollars.

Comment 300 millions de dollars d'emprunts se sont matérialisés en une seule journée

Lorsque la nouvelle de l'exploit a éclaté, les baleines et les grands fonds ont retiré en quelques heures des milliards de dollars de crypto-monnaies des pools de liquidités d'Aave. Parce qu’ils se sont déplacés les premiers et en grand nombre, leurs retraits ont drainé les réserves de liquidités.

"Lorsque l'exploit rsETH s'est produit et que $AAVE a contracté des dettes irrécouvrables, des baleines comme Justin Sun, la bourse MEXC et d'autres ont immédiatement retiré des milliards de $AAVE", a déclaré l'analyste Duo Nine dans une explication. "Au départ, le marché du $ETH a atteint 100 % d'utilisation, ce qui signifie que vous ne pouviez pas retirer votre $ETH de $AAVE."

Cela s'est rapidement propagé aux pools $USDT et $USDC, augmentant leurs taux d'utilisation à 100 %, alors que plus de 6 milliards de dollars d'actifs ont quitté le protocole en quelques heures. Chaque pool de prêt détient un montant fixe d’actifs déposés par les utilisateurs. Lorsque chaque dollar de ces actifs a été emprunté, il ne reste plus rien à retirer.

"C'est parce que $AAVE a perdu plus de 6 milliards de dollars de liquidités au cours des dernières 24 heures", a écrit Duo Nine. "Alors que les baleines retiraient leur argent, $USDT par