DefiLlama के अनुसार, इस लेख के समय Aave पर डिपॉजिट्स $18.1 बिलियन थे, जो कि अप्रैल में हुए Kelp हैक से एक दिन पहले उपलब्ध $26.1 बिलियन से लगभग 31% कम हैं।
Lender के अपने कोड में कभी कोई दिक्कत नहीं आई। समस्या लोन के पीछे दिए गए कोलैटरल में थी, जिसे ये लोन कॉन्ट्रैक्ट्स जांच नहीं सकते थे।
Kelp हैक ने असल में क्या तोड़ा
18 अप्रैल को, हमलावरों ने Kelp DAO के क्रॉस-चेन ब्रिज के मेसेज चेक करने के तरीके को निशाना बनाया, न कि उसके लेंडिंग लॉजिक को। Kelp एक लिक्विड रिस्टेकिंग प्रोटोकॉल है, और rsETH इसका रिसीट टोकन है।
एक rsETH होल्डर के पास Ether नहीं होता। उनके पास स्टेक्ड Ether का क्लेम होता है, जो पहले ब्रिज से होकर गुजरता है। हमलावरों ने उस ब्रिज पर भरोसा करने वाले डेटा फीड्स को करप्ट कर दिया और उसमें एक फर्जी मेसेज डाल दिया। इससे 116,500 rsETH, जिसकी वैल्यू लगभग $292 मिलियन थी और जो टोकन की सप्लाई का करीब 18% था, बिना किसी बैकिंग के रिलीज़ हो गए।
सिक्योरिटी फर्म Halborn ने चोरी का पता एक सिंगल-वेरिफायर सेटअप और हैक किए गए डेटा नोड्स से लगाया। Chainalysis ने हमलावरों को North Korea के Lazarus Group से जोड़ा। कोई भी कॉन्ट्रैक्ट नहीं टूटा।
बिना बैकिंग वाले टोकन फिर लेंडिंग मार्केट्स में आ गए। हमलावरों ने Aave पर 89,567 rsETH डिपॉजिट किए और उसके बदले करीब $193 मिलियन उधार लिए।
Aave ने एक घंटे के अंदर 11 मार्केट्स में rsETH फ्रीज कर दिए और दो दिन बाद WETH भी फ्रीज कर दिया। BeInCrypto ने Aave WETH सप्लायर्स को उस शाम ही अलर्ट किया, जब ये पूल्स फुल यूटिलाइजेशन के करीब पहुंच रहे थे।
“Aave के स्मार्ट कॉन्ट्रैक्ट्स इस घटना के दौरान किसी भी समय समझौता नहीं हुए। सारी प्रोटोकॉल लॉजिक — जैसे सप्लाई, रीपेमेंट और लिक्विडेशन मेकेनिज्म — डिजाइन के मुताबिक ही काम करते रहे।”
Aave की घटना की रिपोर्ट में कहा गया कि अगर नुकसान बराबर बांटे जाएं तो बुरी देनदारी $123.7 मिलियन होगी। वहीं, ब्रिज्ड rsETH को अलग करने पर यह आंकड़ा $230.1 मिलियन तक पहुंच गया।
उधार लेने वाले किस पर भरोसा कर रहे हैं
प्रतिद्वंदी प्रोटोकॉल्स ने नुकसान की भरपाई की। एक कोएलिशन से फंडेड रिकवरी प्लान के तहत 75,081 ETH की कमी के मुकाबले लगभग 69,570 ETH की प्रतिज्ञा एकत्रित हुई।
Arbitrum की सिक्योरिटी काउंसिल ने प्रोसीड्स में से 30,765 ETH फ्रीज कर दी थी, और उसकी DAO ने जून में यह रकम Aave को रिलीज़ की। क्रेडिटर्स द्वारा North Korea के खिलाफ जजमेंट रखने वालों के लिए एक US कोर्ट ऑर्डर अब भी इन पैसों पर लटका हुआ है।
डिपॉजिटर्स ने बैलेंस शीट के मुकाबले धीरे-धीरे भरोसा जताया है। जून के अंत में Aave के पास $12.5 बिलियन थे, जो इस हफ्ते बढ़कर $18.1 बिलियन हो गए हैं। AAVE लगभग $124 पर ट्रेड कर रहा है, जिसमें आज 3.8% की गिरावट है।
यही स्ट्रक्चर कहीं और भी मौजूद है। Wrapped Bitcoin और अन्य रिसीट टोकन्स में भी उधार लेने वाले और एसेट के बीच एक लेयर आ जाती है।
कोई भी एसेट कोलैटरल के तौर पर पोस्ट करने से पहले इन तीन बातों को जरूर चेक करें:
- टोकन के ब्रिज पर कितने इंडिपेंडेंट पार्टीज़ की मंज़ूरी जरूरी है
- लेंडिंग मार्केट आइसोलेटेड है या नुकसान पड़ोसियों के साथ शेयर करता है
- कोलैटरल किसी और क्लेम पर आधारित क्लेम तो नहीं है
अप्रैल में जिन उधारकर्ताओं ने एक्सेस खो दिया, उनके लिए इन सवालों के जवाब नहीं मिले। इससे यह सीख मिलती है कि बिना पूछे नतीजा कितना महंगा हो सकता है।
