केल्प हैक के पाँच महीने बाद भी Aave में 8 अरब डॉलर की कमी
यह लिखे जाने तक Aave में जमा राशि 18.1 अरब डॉलर थी, जो अप्रैल के Kelp हैक से एक दिन पहले मौजूद 26.1 अरब डॉलर से लगभग 31% कम है, DefiLlama के अनुसार।
लेंडर का अपना कोड कभी विफल नहीं हुआ। विफलता उसके लोन के पीछे मौजूद कोलेटरल में हुई—ऐसी जगह, जिसे वे लोन कॉन्ट्रैक्ट जाँच नहीं सकते थे।
Kelp हैक ने असल में क्या तोड़ा
18 अप्रैल को हमलावरों ने Kelp DAO के क्रॉस-चेन ब्रिज की आने वाले संदेशों की जाँच करने की प्रक्रिया को निशाना बनाया, न कि उसकी लेंडिंग लॉजिक को। Kelp एक लिक्विड रीस्टेकिंग प्रोटोकॉल है और rsETH उसका रसीद टोकन है।
rsETH धारक के पास ईथर नहीं होता। उसके पास स्टेक किए गए ईथर पर दावा होता है, और यह दावा पहले एक ब्रिज से होकर गुज़रा। हमलावरों ने उस ब्रिज के भरोसे वाले डेटा फ़ीड को दूषित किया और उसके ज़रिए एक नकली संदेश भेजा। इससे 116,500 rsETH जारी हो गए, जिनकी कीमत लगभग 292 मिलियन डॉलर थी और जो टोकन की कुल आपूर्ति के करीब 18% थे—लेकिन उनके पीछे कुछ भी नहीं था।
सुरक्षा कंपनी Halborn ने चोरी का पता एकल-वेरिफ़ायर सेटअप और हाईजैक किए गए डेटा नोड्स तक लगाया। Chainalysis ने हमलावरों को उत्तर कोरिया के Lazarus Group से जोड़ा। किसी कॉन्ट्रैक्ट में सेंध नहीं लगी।
बिना किसी आधार वाले टोकन इसके बाद लेंडिंग बाज़ारों में पहुँच गए। हमलावरों ने Aave पर 89,567 rsETH जमा किए और उनके बदले लगभग 193 मिलियन डॉलर उधार लिए।
Aave ने एक घंटे के भीतर 11 बाज़ारों में rsETH को फ़्रीज़ कर दिया और दो दिन बाद WETH को भी फ़्रीज़ कर दिया। BeInCrypto ने उसी शाम Aave के WETH आपूर्तिकर्ताओं को अपनी राशि निकालने की चेतावनी दी—इन पूलों के पूरी क्षमता तक भर जाने से कुछ घंटे पहले।
“इस घटना के दौरान किसी भी समय Aave के स्मार्ट कॉन्ट्रैक्ट्स से छेड़छाड़ नहीं हुई। सप्लाई, रीपेमेंट और लिक्विडेशन की प्रक्रियाओं सहित सभी प्रोटोकॉल लॉजिक, तय तरीके से काम करते रहे।”
Aave की घटना रिपोर्ट के मुताबिक, अगर नुकसान को समान रूप से बांटा जाए तो खराब कर्ज़ 123.7 मिलियन डॉलर होता। ब्रिज किए गए rsETH को अलग से देखने पर यह बढ़कर 230.1 मिलियन डॉलर हो गया।
उधारकर्ता किस पर भरोसा कर रहे हैं
प्रतिस्पर्धी प्रोटोकॉल ने इस कमी को पूरा किया। गठबंधन द्वारा वित्तपोषित रिकवरी योजना में 75,081 ETH की कमी के मुकाबले लगभग 69,570 ETH देने की प्रतिज्ञाएँ जुटाई गईं।
Arbitrum की सुरक्षा परिषद ने प्राप्त रकम में से 30,765 ETH फ्रीज़ कर दिए, और उसके DAO ने जून में यह राशि Aave को जारी कर दी। उत्तर कोरिया के खिलाफ फैसले हासिल करने वाले लेनदारों की मांग पर अमेरिकी अदालत का एक आदेश अब भी उस रकम पर मंडरा रहा है।
जमा करने वालों ने बैलेंस शीट की तुलना में माफ़ करने में ज़्यादा वक्त लिया है। जून के अंत में Aave के पास 12.5 अरब डॉलर थे, और इस हफ़्ते यह रकम 18.1 अरब डॉलर रही। AAVE लगभग 124 डॉलर पर कारोबार कर रहा है, जो दिनभर में 3.8% नीचे है।
यही ढाँचा दूसरी जगहों पर भी मौजूद है। Wrapped Bitcoin और दूसरे रसीद टोकन में उधारकर्ता और संपत्ति के बीच कुछ न कुछ मध्यस्थ होता है।
इनमें से किसी भी टोकन को कोलेटरल के तौर पर इस्तेमाल करने से पहले तीन बातों की जाँच करना ज़रूरी है।
- टोकन के ब्रिज को मंज़ूरी देने के लिए कितने स्वतंत्र पक्षों के हस्ताक्षर ज़रूरी हैं
- क्या लेंडिंग मार्केट अलग-थलग है या अपने पड़ोसी मार्केट के साथ नुकसान साझा करता है
- क्या संपार्श्विक स्वयं किसी अन्य दावे पर दावा है
अप्रैल ने उन उधारकर्ताओं के लिए इनमें से किसी भी सवाल का जवाब नहीं दिया, जिनकी पहुँच चली गई थी। उसने दिखाया कि सवाल न पूछने की कीमत क्या होती है।
स्रोत: BeInCrypto