DeFi lại bị đánh cắp với giá 292 triệu USD. Bây giờ ngay cả Aave cũng không an toàn?

Bản gốc | Odaily Planet Daily (@OdailyChina)

Tác giả | Azuma (@azuma_eth)

Bật Ngày 19 tháng 4, giờ Bắc Kinh, an ninh DeFi lại hứng chịu một đòn nặng nề.

Dữ liệu trên chuỗi cho thấy vào khoảng 1:35 sáng nay, hợp đồng cầu nối rsETH dựa trên LayerZero của Kelp DAO, thỏa thuận đặt cược thanh khoản lớn thứ hai, bị nghi ngờ bị tin tặc khai thác, dẫn đến mất 116.500 rsETH, trị giá khoảng 292 triệu USD.

Tiếp tục truy tìm hồ sơ trên chuỗi, địa chỉ của kẻ tấn công đã nhận được số tiền ban đầu là 1 ETH từ giao thức trộn tiền tệ Tornado Cash khoảng 10 giờ trước khi xảy ra vụ việc. Địa chỉ sau đó được gọi là hàm lzReceive trên hợp đồng LayerZero EndpointV2. Cuộc gọi này đã kích hoạt hợp đồng cầu nối của Kelp và chuyển 116.500 rsETH đến địa chỉ của kẻ tấn công khác.

Khoảng 2 tiếng rưỡi sau vụ việc, Kelp DAO chính thức xác nhận cuộc tấn công vào X: "Đầu ngày hôm nay, chúng tôi phát hiện ra rằng cuộc tấn công có liên quan đến Suspicious hoạt động xuyên chuỗi của rsETH. Trong quá trình điều tra, chúng tôi đã tạm dừng các hợp đồng rsETH trên mạng chính và nhiều Layer2. Các kiểm toán viên của chúng tôi đang làm việc với các chuyên gia bảo mật từ LayerZero và Unichain để theo dõi chặt chẽ tình hình. Vui lòng theo dõi các kênh chính thức ”

Sau vụ việc, nhiều dự án DeFi và cơ quan an ninh đã phân tích nguyên nhân vụ việc. Phân tích của D2 Finance đã được trích dẫn nhiều lần trong cộng đồng - LayerZero Scan đã đánh dấu nguồn ngang hàng là Kelp DAO, nghĩa là tin nhắn đến từ hợp đồng ngang hàng được chính Kelp triển khai hợp pháp và đường dẫn này trước đây đã có 308 bản ghi tin nhắn nonce. Do đó,nguyên nhân cốt lõi của cuộc tấn công này là do "khóa riêng của chuỗi nguồn đã bị xâm phạm".

Nhà phát triển Steven Enamakel của TinyHumans AI nói thêm rằng hợp đồng chỉ được đảm bảo bởi bộ trình xác thực 1/1 (DVN), có nghĩa là chỉ cần trình xác thực đưa ra một giao dịch không chính xác thì điều đó cũng đủ gây ra sự cố.

Hacker đã sử dụng Aave để trốn thoát, bị nghi ngờ gây ra nợ xấu

Do tính thanh khoản giao dịch của rsETH bị hạn chế nên chiến lược trốn thoát của hacker là sử dụng các giao thức cho vay như Aave để thế chấp rsETH và cho vay wETH với tính thanh khoản giao dịch tốt hơn.

Giám sát của PeckShield Alert cho thấy tính đến 4:30 sáng nay, các địa chỉ hacker đã gửi rsETH bị đánh cắp vào các giao thức cho vay như Aave V3, Hợp chất V3, Euler và cho vay một lượng lớn WETH, với tổng số nợ hơn 236 triệu USD - trong đó riêng khoản nợ của Aave đã lên tới 196 triệu USD, Hợp chất 39,4 triệu USD và Euler chỉ 840.000 USD.

Sau sự cố, Aave ngay lập tức đóng băng thị trường rsETH trên Aave V3 và V4, và sau đó nhóm X đã chính thức đưa ra tuyên bố: "Hợp đồng của Aave chưa bị tấn công. Cuộc tấn công có liên quan đến rsETH. Việc đóng băng rsETH là để ngăn chặn việc gửi tiền rsETH mới và vay tài sản thế chấp trong khi tình hình được đánh giá. Chúng tôi đang xem xét thông tin vay rsETH xảy ra trên Aave sau cuộc tấn công và sẽ chia sẻ thêm chi tiết sớm nhất có thể."

Ngay sau khi tuyên bố ban đầu được đưa ra, Aave Bản cập nhật đã được cập nhật, thêm một câu ở cuối: "Nếu thỏa thuận tích lũy các khoản nợ khó đòi do sự cố này, chúng tôi sẽ tìm cách bù đắp thâm hụt."

Tính đến thời điểm đăng bài, vẫn chưa rõ số nợ xấu cụ thể do sự cố này gây ra.

monetsupply.eth, người đứng đầu chiến lược tại Spark, đối thủ cạnh tranh trực tiếp của Aave, nói rằng nếu rs ETH giảm giá 19% (số tiền bị đánh cắp chiếm 19% tổng nguồn cung rsETH), Aave có thể phải gánh khoản nợ khó đòi hơn 100 triệu USD do hoạt động cho vay quay vòng có đòn bẩy cao.

Tuy nhiên, Marc Zeller, người sáng lập nhóm quản trị đại diện sinh thái Aave, Sáng kiến ​​Aave Chan (ACI), đã thông báo rằng ông sẽ rút lui vào tháng 7 do những khác biệt về quản trị. Aave) đã có một cái nhìn khác. Khi bắt đầu sự việc, Zeller khuyên người dùng nên rút WETH khỏi Aave V3 càng sớm càng tốt để tránh thua lỗ, đồng thời xác nhận rằng thị trường USDC và USDT trên Aave sẽ không bị ảnh hưởng. Trước suy đoán của một người dùng khác rằng "nợ xấu có thể lên tới hàng trăm triệu", anh nói: "Nó ít hơn nhiều so với con số đó".

Nhưng Marc Zeller cũng đề cập đến điều đó bây giờ là lúc để thử nghiệm Umbrella trong môi trường sản xuất thực tế. Cái gọi là Ô là mô-đun bảo mật tự động của Aave. Nói một cách đơn giản, đó là quỹ để xử lý các khoản nợ khó đòi. Người dùng có thể gửi tài sản vào đó để nhận được ưu đãi cao hơn. Tuy nhiên, khi các khoản nợ xấu xảy ra trong giao thức, quỹ quỹ cũng cần phải gánh chịu những khoản lỗ tiềm tàng.

Dữ liệu giao thức Aave cho thấy Umbrella hiện có tổng giá trị WETH trị giá khoảng 50 triệu USD có thể được sử dụng để giải quyết các khoản nợ xấu tiềm ẩn trong sự cố này, nhưng vẫn chưa chắc chắn liệu số tiền đó có đủ để lấp đầy lỗ hổng hay không.

Ảnh hưởng bởi sự cố này, AAVE đã giảm gần 10% trong ngắn hạn và tạm thời giao dịch ở mức 104,6 USDT tính đến thời điểm công bố.

Thêm một sự cố an ninh cấp tỷ nữa vào tháng 4

Đây không phải là sự cố an ninh lớn đầu tiên trong tháng này.

Ngay từ ngày 1 tháng 4, Drift Protocol, giao thức giao dịch phái sinh sinh thái của Solana, đã bị tấn công, với tổn thất lên tới 280 triệu USD (xem "Trò đùa ngày Cá tháng Tư? Drift để biết chi tiết) Giao thức đã bị đánh cắp với giá hơn 280 triệu USD, có thể trở thành vụ cướp DeFi lớn thứ hai trong hệ sinh thái Solana》).

Sau đó, Drift Protocol trực tiếp đổ lỗi cho "hacker Triều Tiên" về vụ trộm, nhưng may mắn thay, các tổ chức như Tether đã hứa sẽ bồi thường 147,5 triệu USD cho người dùng và người dùng ít nhất cũng có chút hy vọng được bồi thường

Chỉ hơn mười ngày trôi qua, một vụ hacker khác ở quy mô lớn hơn sẽ nổ ra. một nơi an toàn trong DeFi?

Các vấn đề bảo mật DeFi ngày càng trở nên nghiêm trọng

Một mặt, các vụ hack đang diễn ra và mặt khác, có những mối đe dọa bảo mật dai dẳng do AI như Mythos gây ra (vui lòng tham khảo "Cuộc phỏng vấn độc quyền của Odaily với Cosine: Sự rò rỉ mô hình cấp độ bom hạt nhân mới của Anthropic ảnh hưởng như thế nào đến tấn công và phòng thủ an ninh mã hóa?). Đối với người dùng DeFi, phản ứng trước đây là huy động vốn càng nhiều càng tốt cho các giao thức hàng đầu với khả năng kiểm toán đầy đủ và danh tiếng thương hiệu tốt. Nhưng giờ đây, ngay cả các giao thức hàng đầu như Aave, vốn cực kỳ khó để các nhà đầu tư bán lẻ gặp vấn đề trong tiềm thức, cũng đã bị ảnh hưởng gián tiếp. Người dùng có thể chuyển tiền của họ đến đâu khác?

Theo quan điểm cá nhân, người dùng thực sự không nên để lại số tiền lớn trên chuỗi vào lúc này. Nếu có nhu cầu thực sự, hãy đảm bảo phân tán và cô lập các vị trí.

Tính đến thời điểm bài viết này được xuất bản, nhiều chi tiết về vụ việc này vẫn chưa rõ ràng. Odaily sẽ tiếp tục theo dõi diễn biến vụ việc, mong các bạn chú ý theo dõi.