I pericoli di contagio DeFi aumentano su Layer 2 poiché l'hack da 300 milioni di dollari di KelpDAO espone i profondi collegamenti con rsETH

L'exploit da 300 milioni di dollari di KelpDAO ora sembra più un fallimento di Layer 2 che una rottura diretta sulla mainnet di Ethereum, poiché le paure di contagio DeFi dalle interazioni tra catene crescono nella comunità.

Fonti a cui è stato concesso l'anonimato si sono rivolte a Cryptopolitan e hanno dichiarato di avere "fiducia che il Core L1 ETH non sia interessato" e che il problema "si trova sui L2".

Il attacco è iniziato dopo che un portafoglio finanziato tramite il pool da 1 ETH di Tornado Cash ha aspettato circa dieci ore, chiamando poi lzReceive sul contratto EndpointV2 di LayerZero. Ciò ha innescato la logica del bridge di KelpDAO e ha rilasciato 116.500 rsETH al portafoglio di un aggressore.

I token valevano circa 292 milioni di dollari e costituivano circa il 18% dell'offerta circolante di rsETH di circa 630.000. Due ulteriori pacchetti hanno poi preso di mira 40.000 rsETH ciascuno, o circa altri 100 milioni di dollari combinati, ma entrambi sono stati annullati dopo che il multisig di emergenza di KelpDAO ha eseguito pauseAll.

Se entrambi i tentativi aggiuntivi fossero riusciti, la perdita totale avrebbe raggiunto circa 391 milioni di dollari, secondo le fonti.

Gli aggressori scaricano rsETH su Aave e scuotono ZRO

L'rsETH rubato è stato depositato in Aave V3 come garanzia, quindi utilizzato per prendere in prestito grandi quantità di ETH e WETH, con i fondi instradati nuovamente attraverso Tornado Cash. Ciò ha aumentato il rischio di cattivo debito su Aave, con stime che pongono l'esposizione fino a 177 milioni di dollari.

Aave ha quindi congelato tutti i mercati rsETH sia su V3 che su V4 e ha dichiarato che la falla era in rsETH, non nei suoi contratti. SparkLend ha chiuso il suo mercato rsETH. Fluid ha congelato l'attività. Upshift ha messo in pausa sia High Growth ETH che Kelp Gain vault. L'esposizione si estendeva anche ai prodotti legati a Pendle, Compound, Euler, Beefy e Yearn.

I briefing privati esaminati da Cryptopolitan indicano una direzione più ristretta rispetto al panico di mercato inizialmente suggerito.

Le nostre fonti hanno affermato che L1 rsETH rimane pienamente coperto e che il mercato Aave rilevante è "completamente solvibile". Un messaggio ha affermato che weETH non è interessato, la gestione dei vault liquidi funziona normalmente e gli utenti di LiquidETH e LiquidUSD non subiranno riduzioni di valore perché i costi di prestito eccessivi derivanti dal picco di Aave saranno coperti.

"Per prudenza, rsETH rimane congelato su Aave V3 e V4 e l'esposizione all'incidente è limitata. Le riserve WETH rimangono inoltre congelate sui mercati interessati, inclusi Ethereum, Arbitrum, Base, Mantle e Linea. Aave sta validando attivamente le informazioni e valutando le possibili risoluzioni."

– Aave

Le prime indagini hanno indicato che il problema è stato reso possibile da una configurazione DVN 1-of-1 sul percorso Kelp rsETH Unichain verso Ethereum, che ha consentito il rilascio di token non coperti su Ethereum senza un burn legittimo sul lato sorgente.

Un'altra fonte ci ha detto che i bridge OFT LayerZero di un'altra piattaforma utilizzano una configurazione DVN minima 2/2, scalano a 3 sui percorsi più trafficati e includono limiti di tasso in entrata e in uscita. Quella piattaforma ha comunque messo in pausa tutti i bridge LZ OFT come precauzione, ma ha anche congelato il suo contratto Teller, il modulo che gestisce depositi, prelievi e coniazione di quote.

I protocolli fermano i prelievi e attendono la liquidità

Secondo le fonti, "i tassi di prestito su Aave sono aumentati e la coda di uscita di Ethereum si è riempita, rendendo più difficile/costoso il deleveraggio". Un altro ha detto che Kelp non aveva ancora deciso come coprire o socializzare le perdite e che il caso migliore sarebbe stato che le perdite ricadessero solo sui L2 dove è avvenuto l'exploit.

I depositi sono stati congelati perché i rapporti ritardati degli oracle potrebbero creare una coniazione di quote ingiusta. I prelievi sono stati descritti come "tecnicamente non in pausa", ma non potevano essere elaborati senza maggiore chiarezza da Kelp e Aave.

Mellow sta ora cercando finestre per uscire, ma non ci è riuscito perché i premi per lo swap da stETH a ETH erano troppo alti e la coda di uscita di Ethereum era intasata. I team hanno trattenuto gli aggiornamenti degli oracle perché non sapevano come quotare rsETH dopo le perdite.

Una fonte ha dichiarato: "Semplicemente non sappiamo come quotare rsETH". Un'altra ha detto: "Nessuna notizia finora", quando le è stato chiesto dei progressi di Kelp o Aave. In uno dei casi peggiori, le perdite sono state stimate in circa 9.000 ETH. 

Un'altra stima poneva un possibile calo del 6,2% per i depositanti di primo livello se le perdite fossero arrivate a L1 e se non fossero stati utilizzati backstop più ampi. Messaggi separati indicavano che la liquidità del protocollo in arrivo potrebbe arrivare martedì o mercoledì per aiutare a elaborare prelievi più grandi.

EtherFi ha dichiarato ai suoi utenti su X che:

"I vault liquidi di EtherFi non sono stati influenzati dal recente incidente rsETH di Kelp. Gli utenti dei vault liquidi non subiranno alcuna riduzione di valore."

Nel frattempo, mentre tutto questo sta accadendo, abbiamo anche ricevuto la notizia che Vercel è stato violato e che l'aggressore ha messo in vendita i dati dei clienti, il codice sorgente, i database e le chiavi.

Vercel ha già annunciato pubblicamente su Telegram di aver "identificato un incidente di sicurezza che coinvolge l'accesso non autorizzato ai loro sistemi interni".