Exploit Kelpa za 292 mln dolarów wywołuje debatę o ryzyku DeFi w stylu 2008 roku

Exploit Kelp DAO o wartości 292 milionów dolarów wywołał nowe pytania dotyczące ryzyka na rynkach płynnego restakingu i pożyczek DeFi. 

Atak podobno dotknął bridge rsETH protokołu i obejmował 116 500 rsETH, co stanowi około 18% podaży w obiegu.

Incydent nie ograniczył się wyłącznie do Kelp DAO. Aave odnotowało duże wypłaty, podczas gdy SparkLend i Fluid wstrzymały rynki rsETH. Lido również wstrzymało earnETH, które miało ekspozycję na rsETH, mimo że jego główny produkt stETH nie został dotknięty.

Wpis konta skupionego na DeFi, znanego jako @whatexchange na X, porównał to wydarzenie do kryzysu finansowego z 2008 roku. Konto napisało: „Nakładanie warstw aktywów nie usuwa ryzyka. Kompresuje je i ukrywa."

Warstwowe produkty zyskowe poddane kontroli

Wpis argumentował, że rsETH przeszło przez kilka warstw przed exploitem. Użytkownicy najpierw stakingowali ETH przez Lido i otrzymywali stETH. Ten stETH mógł następnie trafić do Kelp DAO i EigenLayer, gdzie wybijano rsETH.

Token rsETH był następnie używany jako zabezpieczenie na platformach pożyczkowych, takich jak Aave, SparkLend i Fluid. Był również przenoszony przez LayerZero na inne łańcuchy, tworząc opakowane wersje zależne od tego samego bazowego aktywa.

Analiza porównała tę strukturę do produktów hipotecznych przed kryzysem 2008 roku. Stwierdzono, że oba systemy przepakowywały jedno bazowe aktywo przez kilka warstw finansowych, podczas gdy każda warstwa opierała się na prawidłowym działaniu poprzedniej.

Reakcja rynku ujawnia ukrytą ekspozycję

Po exploicie Kelp DAO kilka platform DeFi podjęło kroki w celu ograniczenia ryzyka. Aave zamroziło rynki rsETH na kilka godzin, podczas gdy SparkLend i Fluid wstrzymały podobne rynki. Ethena również wstrzymała mosty LayerZero OFT jako środek ostrożności, mimo że nie miała bezpośredniej ekspozycji na rsETH.

Według wpisu ponad 6,2 miliarda dolarów opuściło Aave w ciągu mniej niż 36 godzin. Konto stwierdziło, że głównym problemem był nie tylko rozmiar exploitu, ale trudność w mapowaniu pośredniej ekspozycji między protokołami.

Wpis stwierdził: „Żaden uczestnik, w tym same protokoły, nie może w pełni zmapować swojej sieci ekspozycji." Dodał, że gdy użytkownicy nie mogą weryfikować ekspozycji w czasie rzeczywistym, często reagują wycofując środki.

Debata o ryzyku DeFi przenosi się na kwestię projektu systemu

Wpis skupił się również na bezpieczeństwie bridge'ów. Twierdził, że Kelp używał konfiguracji weryfikatora 1-z-1, co oznacza, że jeden węzeł weryfikował wiadomości między łańcuchami przed przemieszczeniem środków. Wpis argumentował, że ten projekt stworzył pojedynczy punkt awarii wewnątrz produktu sprzedawanego jako zdecentralizowany.

Analiza zakwestionowała również kumulowanie zysków. Stwierdzono, że każda warstwa dodaje nowe ryzyka, w tym slashing walidatorów, ryzyka restakingu, błędy bridge'ów, awarie kontraktów i likwidacje pożyczek.

Wpis stwierdził, że użytkownicy nie powinni oceniać produktów DeFi wyłącznie na podstawie APY. Argumentował, że wyższe zwroty często odzwierciedlają ukryte ryzyko w kilku połączonych systemach, a nie prosty dochód pasywny.

Exploit Kelp DAO stał się teraz częścią szerszej debaty na temat bezpieczeństwa DeFi, dźwigni finansowej i przejrzystości. Incydent pokazał, jak jedna awaria może dotknąć użytkowników na kilku platformach, w tym użytkowników, którzy nie wchodzili bezpośrednio w interakcję z Kelp DAO.