Penyebab arus keluar besar-besaran:
- Pembekuan pasar dengan $RSETH dan $WETH di Aave V3/V4 dan banyak protokol lainnya
- Gelombang kebencian terhadap LayerZero: tim berhasil menulis hanya 10 jam setelah peretasan: "Kami mengetahui adanya peretasan dan sedang mencari penyebabnya"
- Protokol menghentikan operasi dengan bridge LayerZero OFT.
$RSETH di lebih dari 20 jaringan kini tanpa jaminan.
Komentar Mikhail Egorov (Curve):
Sejarah ini dimulai dari LayerZero, yang digunakan oleh kripto bernilai seperempat triliun dolar! Jadi, apa yang terjadi? Mari kita telusuri.
rsETH dari Kelp menggunakan bridge LayerZero. Bridge ini memungkinkan pengiriman rsETH ke jaringan lain dan sebaliknya. Minting rsETH hanya bisa dilakukan di Ethereum, dan seluruh rsETH di jaringan lain didukung oleh mainnet-rsETH yang tersimpan di bridge.
Dalam LayerZero, Anda dapat memilih apa yang disebut DVN. DVN adalah node yang pada dasarnya membawa pesan dari jaringan lain. Konfigurasi 2-dari-3 DVN berarti dua DVN harus setuju bahwa "memberikan 100.000 rsETH kepada Eve" adalah permintaan yang benar-benar diajukan di jaringan lain. Dan inilah masalahnya: rsETH memiliki konfigurasi 1-dari-1 DVN—hanya satu DVN yang digunakan dan sepenuhnya dipercaya (meskipun itu adalah DVN utama LayerZero). Jadi, DVN tersebut mengonfirmasi pesan yang memungkinkan peretas mengambil seluruh rsETH dari bridge, padahal pesan tersebut tidak pernah dikirimkan di jaringan asal (dalam kasus ini—Unichain).
Seperti yang mungkin sudah Anda dengar, konfigurasi 1-dari-1 untuk multisig adalah hal yang tidak aman. Hal yang sama berlaku untuk DVN. Namun, ini adalah DVN resmi LayerZero yang SAMA—bagaimana bisa ia mengonfirmasi pesan yang salah? Apakah DVN tersebut diretas? Apakah DVN tersebut ditipu? Kami tidak tahu. Tapi segala sesuatunya bisa terjadi ketika Anda mempercayakan satu pihak saja—siapa pun pihak itu.
Baiklah, peretas telah menipu DVN resmi LayerZero dan mendapatkan banyak rsETH. Lalu apa selanjutnya? Yang paling menguntungkan bagi peretas adalah menyimpan rsETH di Aave dan meminjam semua ETH yang mungkin. Akibatnya, Aave tertinggal dengan rsETH yang pada dasarnya tidak bisa dijual, serta ETH yang sepenuhnya terpakai sehingga tak ada yang bisa menarik ETH. Potensi hutang buruk sekitar ~300 juta. Mungkin juga tidak—secara teknis, semuanya masih terjamin, tetapi bank run sedang terjadi di Aave sekarang.
Jadi, apa kesimpulan yang bisa kita ambil dari insiden ini?
* Peminjaman yang tidak terisolasi, seperti di Aave, sangat berisiko (walaupun paling efisien secara modal!). Aave v4 dengan model hub-and-spoke mungkin lebih rendah risikonya. Morpho juga demikian. Sedangkan peminjaman di Curve, seperti Silo, kemungkinan paling terisolasi → paling aman dalam hal ini.
* Protokol peminjaman lebih berisiko untuk menempatkan dana dibandingkan DEX. Pool USDC/USDT di Curve hanya memiliki eksposur terhadap dua aset di pool, sementara Aave memiliki eksposur terhadap semua aset yang ditambahkan ke sana.
* Pengintegrasian aset ke dalam protokol peminjaman harus dilakukan dengan lebih hati-hati. Konfigurasi 1-dari-1 DVN untuk rsETH adalah kesalahan nyata: seharusnya diperbarui minimal menjadi 2-dari-2 sebelum pengintegrasian.
* Cross-chain itu rumit dan berpotensi berbahaya. Gunakan infrastruktur cross-chain hanya bila benar-benar diperlukan, dan lakukan dengan BENAR-BENAR hati-hati.
Bagaimanapun, saya yakin DeFi akan belajar dari insiden ini dan menjadi lebih kuat daripada sebelumnya. Kripto adalah lingkungan yang keras, di mana tidak ada bank yang bisa bertahan—namun kita tetap bekerja di dalamnya. Infrastruktur tanpa izin membutuhkan upaya luar biasa untuk menjadi aman—dan kami sedang melakukan upaya tersebut!
TVL turun dari $26,4 miliar menjadi $19,8 miliar
AAVE turun 25% dari puncak pada 17 April