فهرست مطالب
با وقوع یک حمله سایبری گسترده به پروتکل کلپ دائو (KelpDAO)، بیش از ۲۹۰ میلیون دلار از داراییهای کاربران به سرقت رفت که منجر به سقوط ۱۰ درصدی قیمت ارز آوه (AAVE) AAVE $86.68 شد. این حمله دیروز ۱۸ آوریل رخ داده و زنگ خطر امنیت پلتفرمهای دیفای و نقدینگی بازارهای وامدهی را به صدا درآورده است.
خلاصه خبر
-
سرقت ۲۹۲ میلیون دلاری: هکرها با ضرب غیرقانونی ۱۱۶,۵۰۰ توکن rsETH و استفاده از آن به عنوان وثیقه در Aave V3، مبالغ هنگفتی ETH و WETH استخراج و از طریق میکسر تورنادو کش پولشویی کردند.
-
آسیبپذیری پروتکل Aave: با وجود اینکه قراردادهای اصلی Aave ایمن هستند، این پروتکل اکنون با خطر حدود ۱۷۷ میلیون دلار بدهی بد یا معوق (Bad Debt) به دلیل کاهش ارزش وثیقههای مرتبط با rsETH روبروست.
-
واکنش فوری تیمها: تیم KelpDAO تمامی قراردادهای خود را در شبکههای اصلی و لایه دوم متوقف کرد و Aave نیز بازارهای rsETH را در نسخههای V3 و V4 مسدود نمود تا از خسارات بیشتر جلوگیری شود.
جزئیات فنی حمله: عملیات پیچیده هکرها برای دور زدن پروتکلها
بر اساس گزارشهای تحلیلگر حوزه بلاکچین به نام ZachXBT، این حمله از طریق یک فرآیند پیچیده ضربومصرف (Mint-and-Borrow) صورت گرفته است. مهاجم با بهرهگیری از آسیبپذیری در قرارداد EndpointV2 پروتکل لیر زیرو (LayerZero)، موفق به ضرب غیرقانونی توکنهای ری استیک اتریوم (rsETH) شد. این توکنها بلافاصله به عنوان وثیقه در پلتفرم Aave V3 قرار گرفتند تا هکر بتواند حجم زیادی از اتریوم (ETH) و توکنهای رپد شده (WETH) را وام بگیرد. پس از این اقدام، ردپای داراییهای سرقت شده با عبور از پلتفرم تورنادو کش، پاکسازی شد.
به بیان دیگر هکر با استفاده از توکنهای rsETH (که به صورت غیرقانونی ضرب شده بودند) به عنوان وثیقه در Aave V3، مبالغ کلانی WETH وام گرفت. مشکل اصلی اینجاست که rsETH پس از این حمله، پشتوانه خود را از دست داد و به یک دارایی بیارزش تبدیل شد. در نتیجه، این موقعیتهای وامگیری عملا «غیرقابل نقد شدن» (Unliquidatable) هستند، زیرا وثیقهای باقی نمانده که پروتکل بتواند برای تسویه بدهی آن را بفروشد. این امر باعث شده تا استخر WETH پروتکل Aave با حفرهای مالی مواجه شود که نمیتواند آن را از طریق مسیرهای معمول بازیابی کند.
وضعیت بحرانی در Aave
اگرچه تیم Aave تاکید کرده که قراردادهای خود پروتکل در این نفوذ امن بودهاند و مشکل مستقیما به rsETH بازمیگردد، اما این رخداد ضربه سنگینی به نقدینگی پروتکل وارد کرد. گزارشها نشان میدهد که Aave V3 در حال حاضر با ریسک بیش از ۱۷۷ میلیون دلار بدهی غیرقابل وصول مواجه است. تیم توسعهدهنده آوه در بیانیهای اعلام کرده که تمامی بازارهای مربوط به rsETH را فریز کرده و در حال بررسی راهکارهایی برای جبران این کسری نقدینگی است تا مانع از گسترش بحران به سایر بخشهای پروتکل شود.
خلاصهای از بحران نقدینگی و وضعیت پروتکل
-
خروج ۵.۴ میلیارد دلار اتریوم: حجم عظیمی از سرمایههای کاربران از پروتکل خارج شده که شامل برداشت ۱۵۴ میلیون دلار اتریوم (۶۵,۵۸۴ ETH) توسط جاستین سان (Justin Sun) میشود.
-
قفل شدن برداشتها: خروج گسترده سرمایه باعث شد نرخ استفاده از استخر اتریوم (ETH) در Aave به ۱۰۰ درصد برسد، به این معنی که عملا نقدینگی کافی برای برداشتهای جدید در این استخر وجود ندارد.
-
محدود بودن خسارت: تیم Aave در بیانیهای اختصاصی تأکید کرده که این اختلال صرفا محدود به بازار V3 اتریوم است و پروتکل V4 کاملا ایمن و بدون مشکل به فعالیت خود ادامه میدهد.
-
اقدامات امنیتی: برای کنترل وضعیت، تیم Aave ذخایر rsETH را منجمد کرده، قدرت وامگیری آن را حذف نموده و نسبت وام به ارزش (LTV) برای اتریوم را به صفر کاهش داده است. سایر داراییها و استخرهای استیبلکوین پروتکل در وضعیت عادی قرار دارند.
بحران در استخر WETH و هشدار توسعهدهندگان
اوضاع برای تامینکنندگان نقدینگی WETH در Aave بسیار پیچیده شده است. «0xQuit»، از توسعهدهندگان و حسابرسان حوزه قراردادهای هوشمند، در هشداری جدی اعلام کرد که استخر WETH به دلیل این حمله مختل شده است. او به کاربران هشدار داد که احتمالا برداشتهای عادی دیگر ممکن نیست و نقدینگی تا زمانی که پروتکل کسری بودجه را از طریق ماژول Umbrella جبران نکند، قفل خواهد بود. در حال حاضر، تمامی بازارهای rsETH در Aave V3 و V4 به حالت فریز درآمدهاند تا از برداشتهای بیشتر و گسترش بحران جلوگیری شود.
اقدامات پیشگیرانه و واکنش رسمی تیمها
تیم KelpDAO ساعاتی پس از وقوع این حادثه، ضمن تایید فعالیتهای مشکوک میانزنجیرهای، تمامی قراردادهای rsETH را در شبکه اصلی و شبکههای لایه دوم متوقف کرد. آنها در حال حاضر با همکاری بازرسان امنیتی، پروتکل لیر زیرو سایر متخصصان در حال ریشهیابی این نفوذ هستند. این حادثه شباهتهایی به حمله ۱ آوریل به پروتکل درفت (Drift) دارد که در آن نیز شاهد خسارتی مشابه بودیم. این اتفاقات زنجیرهای، دوباره اهمیت استانداردهای امنیتی در پروژههای ری استیکینگ (Restaking) را در کانون توجه قرار داده است.
سقوط قیمت AAVE و التهاب در بازار
به محض انتشار اخبار مربوط به این هک، واکنش بازار سریع و هیجانی بود. قیمت توکن AAVE به دلیل خروج سرمایه و فروش از روی ترس معاملهگران، با کاهش بیش از ۱۰ درصدی به حدود ۱۰۵.۷۳ دلار رسید. در همین بازه زمانی، قیمت اتریوم نیز با افت ۳ درصدی مواجه شد. علاوه بر این بحران، همزمانی این اتفاق با شایعات پامپ و دامپ توکن RAVE در بازار، فشار فروش و بیاعتمادی را در کل مارکت کریپتو دوچندان کرده است.
در بازار واکنشها به این خبر همچنان تند است. در پی انتشار اخبار هک KelpDAO و آسیبپذیریهای ایجاد شده، نهنگها با پیشبینی وضعیت ناپایدار، بیش از ۶ میلیون دلار از داراییهای AAVE خود را به فروش رساندند و فشار فروش را دوچندان کردند. در زمان نگارش این خبر، ارز آوه 91.84 دلار معامله میشود؛ چیزی حدود 20 درصد ریزش قیمت در 24 ساعت اخیر.
