#KelpDAO跨链桥遭攻击

Dernières avancées - Kelp DAO se renvoie la responsabilité pour la faille de 292 millions de dollars et LayerZero

Le 18 avril, le pont inter-chaînes supporté par Zero Layer, Kelp DAO, a perdu 116 500 jetons rsETH, d'une valeur d'environ 292 millions de dollars, devenant la plus grande faille DeFi de cette année à ce jour. L'attaquant a obtenu la liste des nœuds RPC utilisés par le réseau de validation décentralisé (DVN) de LayerZero Labs. L'attaquant a ensuite falsifié deux nœuds RPC et lancé une attaque DDoS, forçant le DVN à accepter des messages inter-chaînes falsifiés, ce qui a permis de signer une transaction illégale.

Plus tôt, dans un rapport publié, LayerZero a critiqué la configuration DVN 1 pour 1 de Kelp DAO, soulignant qu'en raison du manque de validation indépendante nécessaire pour détecter les messages inter-chaînes frauduleux, un point unique de défaillance s'est produit. Le rapport indique : « LayerZero et d'autres organismes externes avaient précédemment conseillé à Kelp DAO de suivre les meilleures pratiques pour la diversification du réseau virtuel distribué (DVN). Malgré ces recommandations, Kelp DAO a choisi d'adopter une configuration DVN 1/1. »

D'autre part, Kelp DAO a publié lundi une déclaration minimisant sa responsabilité directe dans cette affaire. La responsabilité de la configuration DVN 1 pour 1 a été rejetée à LayerZero.

Dans une déclaration sur X, Kelp a écrit : « La configuration DVN 1 pour 1 est une configuration documentée dans la documentation de LayerZero, et c'est également la configuration par défaut pour tout nouveau déploiement OFT. Depuis janvier 2024, Kelp fonctionne sur l'infrastructure de LayerZero et maintient toujours une communication ouverte avec l'équipe LayerZero. » Kelp a également ajouté que le problème de configuration du DVN a été soulevé lors de l'extension vers L2, lorsque la configuration par défaut a été explicitement considérée comme appropriée.

Ce pont inter-chaînes indique également que ses mesures initiales — y compris la suspension des contrats concernés et la mise sur liste noire des portefeuilles liés à l'attaquant — ont contribué à maîtriser la situation.

😞Les deux parties se renvoient la responsabilité, AAVE innocent se sent blessé, qui va gérer cette créance de plus de 200 millions ?

L'attaquant a déposé une grande partie des actifs volés dans la version Aave V3. En utilisant rsETH comme garantie, il a emprunté une grande quantité de WETH, augmentant ainsi le risque de créances douteuses pour le protocole.

Selon le dernier rapport d'incident d'Aave, l'attaquant aurait fourni 89 567 rsETH (d'une valeur d'environ 221 millions de dollars) en garantie, et emprunté 82 650 WETH et 821 wstETH, ce qui a conduit à un faible coefficient de santé de ces positions. Le protocole a présenté deux scénarios hypothétiques de pertes, car Kelp n'a pas encore officiellement annoncé de plan de répartition des pertes ou de récupération.

Le premier scénario décrit une répartition uniforme des pertes, supposant que environ 112 204 rsETH seront répartis de manière égale sur toutes les chaînes. Cela entraînerait une déconnexion de 15,12 %, et une perte d'environ 123,7 millions de dollars pour Aave.

Le second hypothèse limite la perte au rsETH L2, le rsETH sur la chaîne principale Ethereum restant entièrement supporté. Dans ce cas, la garantie L2 serait réduite de 73,54 %. Cela entraînerait des pertes allant jusqu'à 230,1 millions de dollars sur les marchés L2 tels que Mantle, Arbitrum et Base.

Aave indique : « La survenue de l'une ou l'autre situation dépend de décisions hors du contrôle d'Aave, principalement la comptabilisation du rsETH et la mise à jour du taux de change de LRTOracle. »

De plus, Aave indique que le DAO d'Aave détient 181 millions de dollars d'actifs, que sa situation financière est saine, et qu'il a reçu plusieurs engagements de la part des participants de l'écosystème pour soutenir le protocole en cas de pertes.