Les dangers de contagion DeFi augmentent sur Layer 2 alors que la faille de 300 millions de dollars de KelpDAO expose des liens profonds avec rsETH

L'exploitation de 300 millions de dollars de KelpDAO ressemble désormais davantage à un échec de Layer 2 qu'à une brèche directe sur le réseau principal Ethereum, alors que les craintes de contagion DeFi provenant des interactions entre chaînes augmentent dans la communauté.

Des sources qui ont obtenu l'anonymat ont contacté Cryptopolitan et ont déclaré avoir « confiance que le Core L1 ETH n'est pas impacté » et que le problème « se situe sur les L2 ».

Le attaque a commencé après qu'un portefeuille financé via le pool de 1 ETH de Tornado Cash a attendu environ dix heures, puis a appelé lzReceive sur le contrat EndpointV2 de LayerZero. Cela a déclenché la logique de pont de KelpDAO et libéré 116 500 rsETH vers le portefeuille d'un attaquant.

Les tokens valaient environ 292 millions de dollars et représentaient environ 18 % de l'offre en circulation de rsETH, qui s'élevait à environ 630 000. Deux autres paquets ont ensuite ciblé 40 000 rsETH chacun, soit environ 100 millions de dollars supplémentaires au total, mais les deux ont été annulés après que le multisig d'urgence de KelpDAO a exécuté pauseAll.

Si les deux tentatives supplémentaires avaient réussi, la perte totale aurait atteint environ 391 millions de dollars, selon les sources.

Les attaquants déversent rsETH dans Aave et secouent ZRO

Le rsETH volé a été déposé dans Aave V3 en tant que collatéral, puis utilisé pour emprunter de grandes quantités d'ETH et de WETH, avec des fonds acheminés via Tornado Cash. Cela a augmenté le risque de dette irrécouvrable chez Aave, les estimations plaçant l'exposition jusqu'à 177 millions de dollars.

Aave a ensuite gelé tous les marchés rsETH sur V3 et V4 et a déclaré que la faille résidait dans rsETH, et non dans ses propres contrats. SparkLend a fermé son marché rsETH. Fluid a gelé l'activité. Upshift a mis en pause les deux vaults High Growth ETH et Kelp Gain. L'exposition s'étendait également aux produits liés à Pendle, Compound, Euler, Beefy et Yearn.

Les briefings privés examinés par Cryptopolitan pointent dans une direction plus étroite que la panique initiale du marché ne le suggérait.

Nos sources ont déclaré que le rsETH L1 reste entièrement adossé et que le marché Aave concerné est « complètement solvable ». Un message indiquait que le weETH n'est pas affecté, que la gestion des vaults liquides fonctionne normalement, et que les utilisateurs de LiquidETH et LiquidUSD ne subiront pas de baisse de valeur car les coûts d'emprunt excessifs dus au pic d'Aave seront couverts.

« Par excès de prudence, le rsETH reste gelé sur Aave V3 et V4 et l'exposition à l'incident est plafonnée. Les réserves WETH restent également gelées sur les marchés affectés, y compris Ethereum, Arbitrum, Base, Mantle et Linea. Aave valide activement les informations et évalue les résolutions potentielles. »

– Aave

Les premières enquêtes ont indiqué que le problème était rendu possible par une configuration DVN 1-of-1 sur l'itinéraire Kelp rsETH Unichain vers Ethereum, ce qui a permis la libération de tokens non adossés sur Ethereum sans brûle légitime du côté source.

Une autre source nous a dit que les propres ponts LayerZero OFT d'une autre plateforme utilisent une configuration DVN minimale de 2/2, passent à 3 sur les itinéraires les plus fréquentés et incluent des limites de débit entrantes et sortantes. Cette plateforme a toujours mis en pause tous les ponts LZ OFT par précaution, mais a également gelé son contrat Teller, le module gérant les dépôts, les retraits et la frappe de parts.

Les protocoles suspendent les retraits et attendent la liquidité

Selon les sources, « les taux d'emprunt sur Aave ont augmenté et la file d'attente de sortie Ethereum s'est remplie, ce qui rend le délestage plus difficile/coûteux ». Un autre a déclaré que Kelp n'avait pas encore décidé comment couvrir ou socialiser les pertes et que le meilleur cas serait que les pertes ne touchent que les L2 où l'exploitation a eu lieu.

Les dépôts ont été gelés car les rapports d'oracle retardés pourraient créer une frappe de parts injuste. Les retraits ont été décrits comme « techniquement non suspendus », mais ils ne pouvaient pas être traités sans plus de clarté de la part de Kelp et Aave.

Mellow cherche désormais des fenêtres de sortie, mais n'y est pas parvenu car les primes pour échanger du stETH contre de l'ETH étaient trop élevées et la file d'attente de sortie Ethereum était encombrée. Les équipes ont retenu les mises à jour d'oracle car elles ne savaient pas comment évaluer le rsETH après les pertes.

Une source a déclaré : « Nous ne savons tout simplement pas comment évaluer le rsETH. » Une autre a répondu : « Pas de nouvelles pour l'instant », lorsqu'on lui a demandé des progrès de Kelp ou Aave. Dans un pire scénario, les pertes étaient estimées à environ 9 000 ETH. 

Une autre estimation plaçait un impact possible de 6,2 % sur les déposants de premier niveau si les pertes atteignaient le L1 et si des mécanismes de sécurité plus larges n'étaient pas utilisés. Des messages séparés indiquaient que la liquidité protocolaire entrante pourrait arriver mardi ou mercredi pour aider à traiter les retraits plus importants.

EtherFi a informé ses utilisateurs sur X que :

« Les vaults liquides EtherFi ne sont pas affectés par le récent incident Kelp rsETH. Les utilisateurs des vaults liquides ne subiront aucune baisse de valeur. »

Pendant ce temps, alors que tout cela se produit, nous avons également reçu la connaissance que Vercel a été piraté et que l'attaquant a mis en vente les données de leurs clients, le code source, les bases de données et les clés.

Vercel a déjà annoncé publiquement sur Telegram qu'ils « ont identifié un incident de sécurité impliquant un accès non autorisé à leurs systèmes internes ».