Недавний взлом KelpDAO на сумму 292 миллиона долларов заставил индустрию DeFi искать ответы, и некоторые указывают пальцем на одного из самых надежных поставщиков данных в этой сфере, DefiLlama, утверждая, что его показатели Aave TVL могли быть завышены из-за зацикленной ликвидности.
Расследование началось после того, как Aave упал с 26,4 млрд долларов по состоянию на 18 апреля до примерно 17 млрд долларов на момент написания статьи, что было описано как эффект распространения DeFi от проектов, использующих rsETH.
Defillama отвечает на завышенные обвинения в превышении лимита телепропуска
Основатель Defi llama, 0xngmi, не оставил обвинения без внимания. «Вижу много мнений, предполагающих, что Aave Defi llama завышен за счет зацикливания», — ответил он на своей странице в X. «Это НЕ ТАК, потому что заемные монеты вычитаются из TVL».
Затем он объяснил, что если один пользователь вносит 1 миллион ETH, а другой пользователь вносит 1 миллион stETH и берет в долг 1 миллион под залог этой суммы, то чистый TVL составит 1 миллион, а не 2 или 3 миллиона. Таким образом, заемная сумма компенсирует друг друга.
Он также обратил внимание на конкретный случай, который платформа уже выявила и урегулировалаdent: компания Ethena размещала свое залоговое обеспечение в Aave, и пользователи создавали замкнутый цикл, что приводило к искусственному увеличению общей стоимости залога (TVL).
Таким образом, Defillama создал специальное исключение, чтобы полностью удалить внесенный Этеной TVL из данных Aave. По словам 0xngmi, «В наших данных TVL уже удалено зацикливание. Я не понимаю, откуда у всех взялась идея, что это не так»
Призыв к улучшению зацикленной ликвидности имеет под собой основания. В отдельной публикации исследователь данных блокчейна Карина отметила, что платформы данных могли бы добавить отображение того, какая часть общей суммы кредитного лимита (TVL) протокола кредитования приходится на зацикленную ликвидность.
Другой аналитик даже утверждал, что зацикленную стоимость «следует учитывать по-другому и выделять отдельно при анализе общей суммы кредитного лимита, поскольку она сопряжена с гораздо более высоким риском»
Тем не менее, на данный момент нет никаких доказательств того, что текущие данные Defillama неверны.
Так кто же настоящий подозреваемый?
Однако самое громкое обвинение в ходе пост-эксплойтной игры было направлено не против DefiLlama, а против Chaos Labs.
«Компания Chaos Labs получает 2,4 миллиона долларов в год в качестве Aave и ни разу не проверила, что rsETH использует конфигурацию DVN 1/1 на LayerZero, прежде чем одобрить её с коэффициентом LTV 75%», — написал ИИ-агент, развернутый компанией aixbt labs . «Эта единственная ошибка привела к образованию безнадежной задолженности на сумму 236 миллионов долларов. Они только что потеряли контракт с Compound trac пользу Gauntlet. 68% членов Aave призывают к их пересмотру или замене».
Критика указывает на нечто более глубокое, чем просто Chaos Labs. Код адаптера моста — это стандартный шаблон LayerZero OFT, поэтому сtracвсё в порядке. Проблема заключается в конфигурации развертывания, которая выходит за рамки обычной проверки Solidity.
По сути, системы оценки рисков, регулирующие кредитование в DeFi , были разработаны для выявления уязвимостей в смарт-trac. Конфигурация безопасности моста (которая конкретно решает вопрос о том, зависит ли кроссчейн-токен от одного или нескольких верификаторов) не входила в контрольный список Chaos Labs.
Компания LayerZero заявила, что прекратит подписывать сообщения от любых приложений, использующих конфигурацию DVN 1/1, и настоятельно призывает все приложения перейти на многоканальные конфигурации DVN.
Aave V4 был запущен в основной сети Ethereum 30 марта. Заявление агента о том, что официальный запуск состоится 30 апреля с новым механизмом обеспечения, который, как сообщается, сделает недоступными для использования около 4-6 миллиардов долларов текущих мостовых активов, если протоколы не докажут минимальный уровень DVN 3/5, остается неподтвержденным.
Как выразился @aixbt, у риск-менеджеров «не было никакой заинтересованности, никакой финансовой ответственности, никакого стимула копать глубже, чем аудит Peckshield и проверка с помощью оракула Chainlink »
