تزداد مخاطر عدوى DeFi على الطبقة الثانية حيث يكشف اختراق KelpDAO بقيمة 300 مليون دولار عن روابط عميقة مع rsETH

يبدو أن استغلال KelpDAO بقيمة 300 مليون دولار أشبه بفشل في الطبقة الثانية أكثر من كونه اختراقاً مباشراً للشبكة الرئيسية لإيثريوم، حيث تزداد مخاوف المجتمع من عدوى DeFi الناتجة عن التفاعلات عبر السلاسل.

تواصلت مصادر منحت anonymity مع Cryptopolitan وقالت إنها "تثق بأن Core L1 ETH غير متأثر" وأن المشكلة "تقع على L2s".

ال هجوم بدأ بعد أن انتظرت محفظة ممولت من خلال صندوق 1 ETH الخاص بـ Tornado Cash حوالي عشر ساعات، ثم استدعت lzReceive على عقد EndpointV2 الخاص بـ LayerZero. هذا أدى إلى تشغيل منطق جسر KelpDAO وإطلاق 116,500 rsETH إلى محفظة المهاجم.

كانت هذه الرموز تساوي حوالي 292 مليون دولار وتشكل حوالي 18% من المعروض المتداول من rsETH الذي يبلغ حوالي 630,000. ثم استهدف حزم أخرى 40,000 rsETH لكل منها، أو حوالي 100 مليون دولار إضافية مجتمعة، لكن كلاهما تم التراجع عنه بعد أن نفذت المجموعة متعددة التواقيع الطارئة في KelpDAO أمر pauseAll.

إذا نجحت المحاولتان الإضافيتان، لكانت الخسائر الإجمالية قد وصلت إلى حوالي 391 مليون دولار، وفقاً للمصادر.

المهاجمون يفرغون rsETH في Aave ويهزون ZRO

تم إيداع rsETH المسروق في Aave V3 كضمان، ثم تم استخدامه لاقتراض كميات كبيرة من ETH وWETH، مع توجيه الأموال مرة أخرى عبر Tornado Cash. هذا رفع خطر الديون السيئة في Aave، مع تقديرات تشير إلى أن التعرض قد يصل إلى 177 مليون دولار.

ثم جمّدت Aave جميع أسواق rsETH في كل من V3 وV4 وقالت إن العيب كان في rsETH، وليس في عقودها الخاصة. أغلقت SparkLend سوق rsETH الخاص بها. جمّدت Fluid النشاط. أوقفت Upshift كل من صناديق High Growth ETH وKelp Gain. امتد التعرض أيضاً عبر منتجات مرتبطة بـ Pendle وCompound وEuler وBeefy وYearn.

تشير الاجتماعات السرية التي راجعتها Cryptopolitan إلى اتجاه أضيق مما اقترحه ذعر السوق في البداية.

قال مصادرنا إن rsETH على L1 لا يزال مدعوماً بالكامل وأن سوق Aave ذي الصلة "سليم تماماً". قال أحد الرسائل إن weETH غير متأثر، وإدارة الصناديق السائلة تعمل بشكل طبيعي، ولن يواجه مستخدمو LiquidETH وLiquidUSD انخفاضاً في القيمة لأن تكاليف الاقتراض الزائدة الناتجة عن ارتفاع Aave سيتم تغطيتها.

"من باب الحذر، يظل rsETH مجمداً عبر Aave V3 وV4 ويتم تحديد التعرض للحادث. كما تظل احتياطيات WETH مجمدة عبر الأسواق المتأثرة بما في ذلك Ethereum وArbitrum وBase وMantle وLinea. تقوم Aave بنشاط بتحقق المعلومات وتقييم الحلول المحتملة."

– Aave

أشارت التحقيقات الأولية إلى أن المشكلة تم تمكينها بواسطة إعداد DVN 1-of-1 على مسار Kelp rsETH من Unichain إلى Ethereum، مما سمح بإطلاق رموز غير مدعومة على Ethereum دون حرق شرعي من جانب المصدر.

قال مصدر آخر إن جسور LayerZero OFT الخاصة بمنصة أخرى تستخدم إعداد DVN 2/2 كحد أدنى، وتصل إلى 3 على المسارات الأكثر ازدحاماً، وتشمل حدود معدل للدخول والخروج. لا تزال هذه المنصة قد علقت جميع جسور LZ OFT كإجراء وقائي، لكنها جمّدت أيضاً عقد Teller الخاص بها، الوحدة التي تتعامل مع الإيداعات والسحوبات وصكوك الأسهم.

بروتوكولات توقف السحوبات وتنتظر السيولة

وفقاً للمصادر، "ارتفعت أسعار الاقتراض في Aave وملأت قائمة انتظار الخروج من Ethereum مما يجعل فك الرافعة المالية أصعب/أكثر تكلفة". وقال آخر إن Kelp لم يقرر بعد كيفية تغطية الخسائر أو توزيعها، وأن أفضل سيناريو هو أن تقع الخسائر فقط على L2s حيث حدث الاستغلال.

تم تجميد الإيداعات لأن تقارير الأوراكل المتأخرة يمكن أن تخلق صكوك أسهم غير عادلة. وُصفت السحوبات بأنها "تقنياً غير موقفة"، لكن لم يكن بمكن معالجتها دون مزيد من الوضوح من Kelp وAave.

تبحث Mellow الآن عن نوافذ للخروج، لكنها لم تتمكن من ذلك لأن علاوات التحويل من stETH إلى ETH كانت مرتفعة جداً وقائمة انتظار الخروج من Ethereum كانت مزدحمة. أحتفظت الفرق بتحديثات الأوراكل لأنها لم تعرف كيفية تسعير rsETH بعد الخسائر.

قال أحد المصادر، "نحن ببساطة لا نعرف كيفية تسعير rsETH". وقال آخر، "لا توجد أخبار حتى الآن"، عند سؤاله عن التقدم من Kelp أو Aave. في أسوأ السيناريوهات، قدرت الخسائر بحوالي 9,000 ETH. 

وضعت تقديرات أخرى ضربة محتملة بنسبة 6.2% على المودعين من المستوى الأول إذا وصلت الخسائر إلى L1 ولم يتم استخدام ضوابط أوسع منفصلة. قالت رسائل منفصلة إن سيولة البروتوكول الواردة قد تصل يوم الثلاثاء أو الأربعاء لمساعدة معالجة السحوبات الأكبر.

أبلغت EtherFi مستخدميها على منصة X بأنه:

"صناديق EtherFi Liquid غير متأثرة بحادث Kelp rsETH الأخير. لن يواجه مستخدمو صناديق Liquid أي انخفاض في القيمة."

في غضون ذلك، وبينما يحدث كل هذا، تلقينا أيضاً معرفة بأن Vercel قد تم اختراقها وأن المهاجم قد عرض بيانات عملائها، وشفرة المصدر، وقواعد البيانات، والمفاتيح للبيع.

أعلنت Vercel بالفعل علناً على Telegram أنها "حددت حادثاً أمنياً يتعلق بالوصول غير المصرح به إلى أنظمتها الداخلية."