Deposit di Aave berada di angka US$18,1 miliar pada waktu publikasi, yaitu sekitar 31% lebih rendah dibanding US$26,1 miliar yang tercatat sehari sebelum peristiwa peretasan Kelp di bulan April, menurut data dari DefiLlama.
Kode milik Aave sendiri tidak pernah gagal. Yang gagal adalah agunan di balik pinjamannya, di sisi yang tidak bisa diperiksa oleh kontrak pinjaman tersebut.
Apa yang Sebenarnya Rusak Karena Peretasan Kelp
Pada 18 April, penyerang mengeksploitasi cara bridge lintas chain milik Kelp DAO memeriksa pesan masuk, bukan pada logika peminjamannya. Kelp merupakan protokol restaking likuid, dan rsETH adalah receipt token-nya.
Pemilik rsETH tidak memegang ether secara langsung. Mereka hanya punya klaim atas ether yang di-stake, di mana klaim tersebut telah melewati bridge lebih dulu. Penyerang merusak data feed yang dipercaya oleh bridge itu lalu mengirim pesan palsu. Hal ini melepaskan 116.500 rsETH senilai sekitar US$292 juta, hampir 18% dari suplai token, tanpa ada aset pendukung di baliknya.
Perusahaan keamanan Halborn menelusuri pencurian ini ke pengaturan single-verifier dan node data yang telah diambil alih. Chainalysis mengaitkan para penyerang dengan kelompok Lazarus asal Korea Utara. Tidak ada kontrak yang rusak.
Token tanpa agunan tersebut kemudian masuk ke pasar pinjaman. Penyerang memasok 89.567 rsETH di Aave dan meminjam sekitar US$193 juta dengan jaminan token tersebut.
Aave membekukan rsETH di 11 pasar hanya dalam waktu satu jam dan membekukan WETH dua hari kemudian. BeInCrypto mengimbau pemasok WETH Aave untuk melakukan penarikan pada malam yang sama, beberapa jam sebelum pool tersebut mencapai utilisasi penuh.
“Smart contract Aave tidak pernah mengalami kompromi selama kejadian ini. Semua logika protokol, termasuk mekanisme supply, pelunasan, dan likuidasi, tetap berfungsi seperti yang dirancang.”
Laporan insiden Aave menyebut kerugian buruk mencapai US$123,7 juta jika kerugian itu dibagi rata. Jika memisahkan rsETH hasil bridge, nilainya melonjak menjadi US$230,1 juta.
Hal yang Dipercaya para Peminjam
Protokol pesaing menambal kekosongan tersebut. Sebuah rencana pemulihan yang didanai koalisi berhasil mengumpulkan janji dana sekitar 69.570 ETH dari total kekurangan 75.081 ETH.
Dewan Keamanan Arbitrum membekukan dana 30.765 ETH hasil kejahatan, dan DAO-nya menyerahkan dana tersebut ke Aave pada bulan Juni. Putusan pengadilan Amerika Serikat yang dimohonkan oleh kreditur pemilik putusan terhadap Korea Utara masih menggantung atas dana ini.
Para deposan bergerak lebih lambat untuk memaafkan dibandingkan penyelesaian balance sheet. Aave memegang US$12,5 miliar pada akhir Juni dan naik menjadi US$18,1 miliar minggu ini. AAVE diperdagangkan di kisaran US$124, turun 3,8% dalam sehari.
Struktur serupa juga diterapkan di tempat lain. Wrapped Bitcoin dan token receipt lain pun menempatkan sesuatu di antara peminjam dan asetnya.
Ada tiga hal yang sebaiknya diperiksa sebelum menggunakan token jenis ini sebagai agunan.
- Berapa banyak pihak independen yang harus memberikan persetujuan pada bridge token tersebut
- Apakah pasar pinjaman tersebut terisolasi atau menanggung kerugian bersama dengan pasar lain
- Apakah agunan itu hanya berupa klaim atas klaim lain
Bulan April tidak memberikan jawaban atas semua pertanyaan tersebut bagi peminjam yang akhirnya kehilangan akses. Hal itu menunjukkan betapa mahalnya risiko jika tidak menanyakannya sejak awal.
