Los depósitos en Aave ascendían a 18,1 mil millones de dólares al momento de redactar esto, aproximadamente un 31 % menos que los 26,1 mil millones que tenía el día anterior al hackeo de Kelp en abril, según DefiLlama.
El código del propio prestamista nunca falló. Lo que falló fue el respaldo de sus préstamos, en un lugar que esos contratos de préstamo no podían verificar.
Qué fue lo que realmente vulneró el hackeo de Kelp
El 18 de abril, los atacantes fueron tras el mecanismo con el que el puente entre cadenas de Kelp DAO verificaba los mensajes entrantes, no contra su lógica de préstamo. Kelp es un protocolo de restaking líquido y rsETH es su token de recibo.
Quien posee rsETH no posee ether. Tiene un derecho sobre ether en staking, y ese derecho cruzó primero un puente. Los atacantes corrompieron las fuentes de datos en las que confiaba ese puente y le hicieron pasar un mensaje falso. Así liberaron 116.500 rsETH, valorados en unos 292 millones de dólares —cerca del 18 % del suministro del token—, sin ningún respaldo.
La empresa de seguridad Halborn atribuyó el robo a una configuración con un único verificador y a nodos de datos secuestrados. Chainalysis vinculó a los atacantes con el Grupo Lazarus de Corea del Norte. No se vulneró ningún contrato.
Después, los tokens sin respaldo llegaron a los mercados de préstamo. Los atacantes depositaron 89.567 rsETH en Aave y pidieron prestados unos 193 millones de dólares usando esos tokens como garantía.
Aave congeló rsETH en 11 mercados en menos de una hora y congeló WETH dos días después. BeInCrypto advirtió esa misma noche a los depositantes de WETH en Aave que retiraran sus fondos, horas antes de que esos pools alcanzaran su utilización máxima.
«Los contratos inteligentes de Aave no se vieron comprometidos en ningún momento durante este incidente. Toda la lógica del protocolo, incluidos los mecanismos de suministro, reembolso y liquidación, siguió funcionando según lo previsto.»
El informe del incidente de Aave calculó la deuda incobrable en 123,7 millones de dólares si las pérdidas se repartían de forma proporcional. Al aislar el rsETH puenteado, la cifra subió a 230,1 millones de dólares.
En qué confían los prestatarios
Protocolos rivales cubrieron el agujero. Un plan de recuperación financiado por una coalición reunió compromisos por unos 69.570 ETH frente a un déficit de 75.081 ETH.
El Consejo de Seguridad de Arbitrum congeló 30.765 ETH de los fondos obtenidos y su DAO entregó esa suma a Aave en junio. Sigue pesando sobre esos fondos una orden judicial estadounidense solicitada por acreedores que tienen sentencias contra Corea del Norte.
A los depositantes les ha costado más perdonar que a los balances recuperarse. Aave tenía 12.500 millones de dólares a finales de junio y 18.100 millones esta semana. AAVE cotiza cerca de los 124 dólares, con una caída diaria del 3,8 %.
La misma estructura existe en otros lugares. El bitcoin envuelto y otros tokens que representan activos depositados ponen algo entre el prestatario y el activo.
Conviene comprobar tres cosas antes de ofrecer cualquiera de ellos como garantía.
- Cuántas partes independientes deben aprobar las operaciones del puente del token
- Si el mercado de préstamos está aislado o comparte las pérdidas con otros mercados
- Si la garantía consiste en un crédito sobre otro crédito
April no respondió a ninguna de esas preguntas para los prestatarios que perdieron el acceso. Mostró el costo de no hacerlas.
Fuente: BeInCrypto
