После эксплойтов на сумму 16,5 миллиардов долларов DeFi теперь вынуждена использовать средства контроля, которым она когда-то сопротивлялась.

Кризис rsETH привел к образованию безнадежных долгов Aave в размере 200 миллионов долларов, несмотря на то, что ни одна строка ее контрактов не была нарушена.

18 апреля злоумышленники, которые Chainaанализ предварительно подключились к Lazarus, скомпрометировали инфраструктуру RPC, вызвали аварийное переключение на отравленные узлы через DDoS и внедрили ложные данные в конфигурацию DVN 1 из 1 на мосту rsETH KelpDAO.

Поддельное сообщение выпустило около 116 500 rsETH, а отчет об инциденте Aave подтвердил, что Ethereum принял nonce 308, в то время как исходная конечная точка Unichain никогда не превышала 307.

Злоумышленник предоставил Aave скомпрометированный rsETH и взял под него кредит, что привело к образованию безнадежных долгов и послужило основой для текущего состояния безопасности DeFi.

В апреле эксплуататоры извлекли более 635 миллионов долларов в результате 28 инцидентов, что является худшим месячным показателем за более чем год. DefiLlama оценивает совокупную историческую стоимость взломов в 16,5 миллиардов долларов, из которых 7,7 миллиардов долларов конкретно нацелены на DeFi.

Громкие эксплойты на Drift и мосте KelpDAO привели к тому, что DeFi потеряла почти 11 миллиардов долларов общей суммы, заблокированной в прошлом месяце.

Это сокращение произошло, когда рельсы стейблкоинов, токенизированные казначейские облигации и регулируемые расчетные уровни получили институциональную поддержку на тех же рынках капитала.

Эксплуататоры DeFi извлекли 635 миллионов долларов в результате 28 инцидентов в апреле, что является худшим ежемесячным убытком в секторе за более чем год, в то время как совокупные исторические взломы достигли 16,5 миллиардов долларов.

Как DeFi здесь оказался?

Митчелл Амадор, генеральный директор Immunefi, рассказал CryptoSlate, что DeFi исторически вознаграждал рост, интеграцию, ликвидность и скорость, а не зрелость безопасности.

Протокол, который добавляет новый актив, мост, оракул, адаптер или внешнюю зависимость, сразу же становится полезным. Риск, который несет в себе интеграция, не создает видимого ценового сигнала до тех пор, пока не материализуется эксплойт, поскольку отсутствие инцидента невидимо, пока он существует.

Из-за этой асимметрии циклы аудита и методы изоляции в течение многих лет оставались второстепенными по отношению к скорости доставки, пока в апреле последствия не сосредоточились в одном месяце.

Амадор сказал, что наиболее игнорируемыми практиками являются гигиена и управление мультиподписью, усиление цепочки поставок, мониторинг в реальном времени и процедуры реагирования на чрезвычайные ситуации.

Слишком многие команды рассматривали мультиподпись как самостоятельную систему безопасности, тогда как ее фактическая надежность зависит от количества подписантов, независимости этих подписантов, их операционных настроек и процессов проверки транзакций.

Низкопороговая мультиподпись, слабая безопасность подписывающего лица или плохо отслеживаемый мост или оракул могут стать системной угрозой, поскольку протоколы DeFi по умолчанию компонуются. В этой ситуации риск проходит через интеграцию так же эффективно, как и ликвидность.

Пока эта культура формировалась внутри DeFi, параллельно строилась другая модель.

Генеральный директор Solstice Finance Бен Надарески оценил:

"Разница в производительности на человека говорит вам о том, что произойдет, если вы уберете все, что не является основной финансовой функцией. Команды, которые выиграют этот раунд, будут теми, которые с первого дня строились на соблюдении требований и безопасности и были готовы к поставке быстрее, чем банк может созвать собрание по этому поводу".

DeFi создавала составные рельсы более полувека, прежде чем Уолл-стрит признала их реальным инфраструктурным уровнем следующей финансовой системы.

Ценой этой ранней позиции на рынке стала культура безопасности, ориентированная на скорость, а не на оперативную дисциплину.

Каспер Павловски, технический директор Euler Finance, в своем анализе после инцидента называет управленческий аспект той же неудачи.

Он сказал:

«DeFi рассматривает оценку риска как единоразовое решение, хотя на самом деле риск является динамичным».

Конфигурация DVN «1 из 1», которая позволила использовать эксплойт KelpDAO, существовала в производстве в течение многих лет. Келп говорит, что это был LayerZero по умолчанию, который был отправлен и проверен на нескольких встречах по интеграции, в то время как LayerZero говорит, что Kelp понизил его версию.

Какая бы учетная запись ни была верной, конфигурация сохранялась без пометки при каждой интеграции с каждым нисходящим протоколом. С тех пор LayerZero запретил эту конфигурацию на уровне всего протокола, признав, что позволить своему DVN выступать в качестве единственного верификатора для транзакций с высокой стоимостью было ошибкой.

Этап

Что случилось

Почему это имело значение

Инфраструктура RPC скомпрометирована

Злоумышленники скомпрометировали инфраструктуру RPC, связанную с настройкой моста rsETH

Атака началась за пределами основных смарт-контрактов, показывая, как оффчейн-инфраструктура может стать точкой входа.

Принудительное переключение при DDoS

Трафик был перенаправлен на отравленные узлы посредством принудительного переключения при отказе.

Это позволяет злоумышленникам контролировать среду данных, видимую верификатором моста.

Ложные данные вводятся в DVN 1 из 1

Отравленные узлы передали ложные данные в конфигурацию DVN с одним верификатором.

Настройка верификатора «1 из 1» означала, что не было независимой проверки, которая могла бы остановить поддельное сообщение.

Сообщение о поддельном мосте принято

Поддельное сообщение выпустило около 116 500 rsETH.

Поддельное залоговое обеспечение было фактически выпущено в обращение

Поддельный rsETH доставлен в Aave

Злоумышленник передал скомпрометированный rsETH в Aave в качестве залога.

Ааве отнесся к активу как к