Les dépôts sur Aave s’élevaient à 18,1 milliards de dollars au moment où nous écrivons ces lignes, soit environ 31 % de moins que les 26,1 milliards détenus la veille du piratage de Kelp en avril, selon DefiLlama.
Le code du prêteur lui-même n’a jamais failli. C’est la garantie qui adossait ses prêts qui a fait défaut, à un endroit que les contrats de prêt ne pouvaient pas vérifier.
Ce que le piratage de Kelp a réellement compromis
Le 18 avril, les attaquants se sont attaqués à la manière dont le pont inter-chaînes de Kelp DAO vérifiait les messages entrants, et non à sa logique de prêt. Kelp est un protocole de restaking liquide, et rsETH est son jeton de reçu.
Un détenteur de rsETH ne détient pas d’ether. Il détient une créance sur de l’ether mis en staking, et cette créance a d’abord traversé un pont. Les attaquants ont corrompu les flux de données auxquels ce pont faisait confiance et y ont fait passer un faux message. Cela a permis de libérer 116 500 rsETH d’une valeur d’environ 292 millions de dollars, soit près de 18 % de l’offre du jeton, sans aucun actif pour les couvrir.
La société de sécurité Halborn a attribué le vol à une configuration à vérificateur unique et à des nœuds de données piratés. Chainalysis a lié les attaquants au groupe Lazarus, en Corée du Nord. Aucun contrat n’a été compromis.
Les jetons non adossés à des actifs ont ensuite fait leur entrée sur les marchés de prêt. Les attaquants ont fourni 89 567 rsETH sur Aave et emprunté environ 193 millions de dollars en les utilisant comme garantie.
Aave a gelé rsETH sur 11 marchés en moins d’une heure, puis WETH deux jours plus tard. Le soir même, BeInCrypto a averti les déposants de WETH sur Aave de retirer leurs fonds, quelques heures avant que ces pools n’atteignent leur taux d’utilisation maximal.
« Les contrats intelligents d’Aave n’ont à aucun moment été compromis pendant cet incident. Toute la logique du protocole, notamment les mécanismes de dépôt, de remboursement et de liquidation, a continué de fonctionner comme prévu. »
Selon le rapport d’incident d’Aave, les créances irrécouvrables s’élevaient à 123,7 millions de dollars si les pertes étaient réparties uniformément. En isolant le rsETH transféré via un bridge, le montant atteignait 230,1 millions de dollars.
Ce à quoi les emprunteurs font confiance
Des protocoles concurrents ont comblé le déficit. Un plan de redressement financé par une coalition a recueilli des engagements d’environ 69 570 ETH pour couvrir un manque de 75 081 ETH.
Le Conseil de sécurité d’Arbitrum a gelé 30 765 ETH provenant des fonds, et sa DAO a débloqué cette somme au profit d’Aave en juin. Une ordonnance d’un tribunal américain, demandée par des créanciers détenant des jugements contre la Corée du Nord, continue de planer sur ces fonds.
Les déposants ont été moins prompts à pardonner que le bilan ne le laisse penser. Aave détenait 12,5 milliards de dollars fin juin, et 18,1 milliards cette semaine. L’AAVE s’échange autour de 124 dollars, en baisse de 3,8 % sur la journée.
La même structure existe ailleurs. Le Bitcoin enveloppé et d’autres jetons représentatifs interposent tous un élément entre l’emprunteur et l’actif.
Trois éléments méritent d’être vérifiés avant d’utiliser l’un de ces jetons comme garantie.
- Le nombre de parties indépendantes qui doivent approuver le bridge du jeton
- Le fait que le marché de prêt soit isolé ou partage les pertes avec les marchés voisins
- Si la garantie est une créance portant sur une autre créance
April n’a répondu à aucune de ces questions pour les emprunteurs qui ont perdu l’accès. Il a montré le coût de ne pas les poser.
Source : BeInCrypto
