สาเหตุของการไหลออกครั้งใหญ่:
- การระงับตลาดที่มี $RSETH และ $WETH ใน Aave V3/V4 และโปรโตคอลอื่นๆ อีกมากมาย
- กระแสความเกลียดชังต่อ LayerZero: ทีมงานสามารถ เขียนได้เพียงแค่ 10 ชั่วโมงหลังจากการถูกโจมตีว่า "เรารู้ถึงการถูกโจมตีและกำลังหาสาเหตุอยู่"
- โปรโตคอลต่างๆ หยุดให้บริการกับม้าโยง LayerZero OFT.
- $RSETH ในกว่า 20 เครือข่ายไม่มีหลักประกันเหลืออยู่
ความเห็นจากมิคาอิล เยโกรอฟ (Curve):
เรื่องนี้เริ่มต้นจาก LayerZero ซึ่งเป็นแพลตฟอร์มที่คริปโตมูลค่าหนึ่งในสี่ล้านล้านดอลลาร์พึ่งพา! แล้วเกิดอะไรขึ้นล่ะ? มาทำความเข้าใจกันเถอะ
rsETH จาก Kelp ใช้ม้าโยง LayerZero ม้าโยงนี้ช่วยให้สามารถโอน rsETH ไปยังเครือข่ายอื่นๆ และกลับมาได้ โดยสามารถ Mint rsETH ได้เฉพาะใน Ethereum เท่านั้น และ rsETH ทั้งหมดในเครือข่ายอื่นๆ จะถูกสนับสนุนด้วย mainnet-rsETH ที่อยู่ในม้าโยง
ใน LayerZero สามารถเลือกสิ่งที่เรียกว่า DVN ได้ DVN คือโหนดที่ทำหน้าที่ส่งข้อความจากเครือข่ายอื่น การกำหนดค่า 2-จาก-3 DVN หมายความว่า DVN สองตัวจะต้องเห็นพ้องต้องกันว่า "มอบ rsETH 100,000 ให้กับอีวา" คือสิ่งที่ถูกขอในเครือข่ายอื่น แต่ตรงนี้แหละที่มีปัญหา: rsETH มีการกำหนดค่า 1-จาก-1 DVN ซึ่งใช้และได้รับความไว้วางใจจาก DVN เพียงตัวเดียวเท่านั้น (แม้ว่าจะเป็น DVN หลักของ LayerZero ก็ตาม) ดังนั้น DVN ตัวนี้จึงยืนยันข้อความที่อนุญาตให้แฮกเกอร์เอา rsETH ทั้งหมดออกจากม้าโยงไปได้ ทั้งที่ข้อความนั้นไม่เคยถูกส่งไปยังเครือข่ายต้นทางเลย (ในกรณีนี้คือ Unichain)
อย่างที่คุณอาจเคยได้ยิน การกำหนดค่า 1-จาก-1 สำหรับมัลติซิกน์นั้นไม่ปลอดภัย เช่นเดียวกับ DVN แต่นี่คือ DVN ตัวจริงของ LayerZero—แล้วมันสามารถยืนยันข้อความผิดพลาดได้อย่างไร? มันถูกแฮ็กหรือถูกหลอกลวง? เราไม่รู้ แต่ทุกอย่างเกิดขึ้นได้เมื่อคุณไว้ใจฝ่ายเดียว—ไม่ว่าจะเป็นใครก็ตาม
เอาล่ะ แฮกเกอร์หลอก DVN ตัวจริงของ LayerZero และได้ rsETH ไปจำนวนมาก แล้วต่อจากนั้นล่ะ? สิ่งที่แฮกเกอร์ได้ประโยชน์มากที่สุดคือการนำ rsETH ไปวางใน Aave และกู้ ETH จนเต็มจำนวนที่สามารถกู้ได้ Aave จึงเหลือ rsETH ที่แทบจะขายไม่ได้ และ ETH ที่ถูกกู้จนเต็มจำนวน ทำให้ไม่มีใครสามารถถอน ETH ออกไปได้ หนี้ที่อาจกลายเป็นปัญหาขนาด ~300 ล้านเหรียญ อาจจะไม่ใช่—เพราะในเชิงเทคนิคแล้วมันยังคงมีหลักประกันอยู่ แต่ตอนนี้กำลังเกิดภาวะ bank run ใน Aave
แล้วเราสามารถสรุปอะไรจากเรื่องนี้ได้บ้าง?
* การให้กู้แบบไม่แยกส่วน เช่นใน Aave นั้นมีความเสี่ยงสูงมาก (แม้ว่าจะเป็นวิธีที่ใช้เงินทุนได้ดีที่สุดก็ตาม!) Aave v4 ที่ใช้โมเดล hub-and-spoke น่าจะมีความเสี่ยงน้อยกว่า Morpho ก็เช่นกัน ส่วนการให้กู้ใน Curve เช่น Silo น่าจะเป็นแบบแยกส่วนมากที่สุด → ปลอดภัยที่สุดในแง่นี้
* โปรโตคอลการให้กู้มีความเสี่ยงในการฝากเงินมากกว่า DEX พอร์ต USDC/USDT ใน Curve มี exposure แค่กับสองสินทรัพย์ในพอร์ต ขณะที่ Aave มี exposure กับทุกสินทรัพย์ที่เพิ่มเข้าไป
* ควรให้ความสำคัญกับการออนบอร์ดสินทรัพย์ในโปรโตคอลการให้กู้มากขึ้น การกำหนดค่า 1-จาก-1 DVN สำหรับ rsETH นั้นเป็นความผิดพลาดจริงๆ: ควรปรับปรุงเป็นอย่างน้อย 2-จาก-2 ก่อนออนบอร์ด
* Cross-chain เป็นเรื่องยากและอาจมีความเสี่ยงสูง ใช้โครงสร้างพื้นฐาน cross-chain เมื่อจำเป็นจริงๆ และทำอย่างระมัดระวังจริงๆ
อย่างไรก็ตาม ผมคิดว่า DeFi จะเรียนรู้บทเรียนจากเหตุการณ์นี้และแข็งแกร่งขึ้นกว่าเดิม คริปโตเป็นสภาพแวดล้อมที่โหดร้ายที่ไม่มีธนาคารไหนอยู่รอดได้—แต่เรากลับทำงานในนั้นได้ โครงสร้างพื้นฐานแบบ Permissionless ต้องใช้ความพยายามอย่างมากเพื่อให้ปลอดภัย—และเรากำลังลงมือทำอย่างเต็มที่!
TVL ลดลงจาก 26.4 พันล้านดอลลาร์เหลือ 19.8 พันล้านดอลลาร์
AAVE ลดลง 25% จากจุดสูงสุดเมื่อวันที่ 17 เมษายน