Os depósitos na Aave somavam US$ 18,1 bilhões no momento da redação, aproximadamente 31% abaixo dos US$ 26,1 bilhões que detinha no dia anterior ao ataque à Kelp em abril, segundo a DefiLlama.
O código da própria credora nunca falhou. O que falhou foi a garantia por trás dos empréstimos, em um local que aqueles contratos de empréstimo não podiam verificar.
O que o ataque à Kelp realmente comprometeu
Em 18 de abril, os invasores atacaram a forma como a ponte entre blockchains da Kelp DAO verificava mensagens recebidas, não sua lógica de empréstimos. A Kelp é um protocolo de restaking líquido, e rsETH é seu token de recibo.
Quem detém rsETH não detém ether. Detém um direito sobre ether em staking, e esse direito atravessou primeiro uma ponte. Os invasores corromperam os feeds de dados em que a ponte confiava e fizeram passar por ela uma mensagem falsa. Isso liberou 116.500 rsETH, no valor de cerca de US$ 292 milhões — quase 18% da oferta do token — sem nada que o respaldasse.
A empresa de segurança Halborn rastreou o roubo até uma configuração com verificador único e nós de dados sequestrados. A Chainalysis vinculou os invasores ao Grupo Lazarus, da Coreia do Norte. Nenhum contrato foi violado.
Em seguida, os tokens sem lastro entraram nos mercados de empréstimos. Os invasores depositaram 89.567 rsETH na Aave e tomaram emprestados cerca de US$ 193 milhões usando-os como garantia.
A Aave congelou o rsETH em 11 mercados em menos de uma hora e congelou o WETH dois dias depois. Naquela mesma noite, horas antes de esses pools atingirem a utilização máxima, a BeInCrypto alertou os depositantes de WETH na Aave para retirarem seus fundos.
“Os contratos inteligentes da Aave não foram comprometidos em nenhum momento durante esse incidente. Toda a lógica do protocolo, incluindo os mecanismos de fornecimento, reembolso e liquidação, continuou funcionando conforme previsto.”
O relatório de incidente da Aave estimou a dívida incobrável em US$ 123,7 milhões caso as perdas fossem distribuídas igualmente. Ao isolar o rsETH transferido por ponte, o valor subiu para US$ 230,1 milhões.
Em que os tomadores de empréstimo estão confiando
Protocolos concorrentes cobriram o rombo. Um plano de recuperação financiado por uma coalizão reuniu promessas de contribuição de cerca de 69.570 ETH, diante de um déficit de 75.081 ETH.
O Conselho de Segurança da Arbitrum congelou 30.765 ETH dos recursos, e a DAO liberou essa quantia para a Aave em junho. Uma ordem judicial dos EUA, solicitada por credores com decisões judiciais contra a Coreia do Norte, ainda paira sobre o dinheiro.
Os depositantes têm sido mais lentos em perdoar do que o balanço patrimonial. A Aave tinha US$ 12,5 bilhões no fim de junho e US$ 18,1 bilhões nesta semana. O AAVE está cotado perto de US$ 124, com queda de 3,8% no dia.
A mesma estrutura existe em outros lugares. O Bitcoin encapsulado e outros tokens representativos colocam algo entre o tomador de empréstimo e o ativo.
Vale a pena verificar três coisas antes de oferecer qualquer um deles como garantia.
- Quantas partes independentes precisam aprovar as transações da ponte do token
- Se o mercado de empréstimos é isolado ou compartilha perdas com os mercados vizinhos
- Se a garantia é um direito sobre outro direito
A April não respondeu a nenhuma dessas perguntas para os tomadores que perderam o acesso. Ela mostrou o custo de não perguntar.
Fonte: BeInCrypto
