גשרי קריפטו: נקודת התורפה של DeFi לאחר פריצה של 293 מיליון דולר ל-Kelp DAO

פריצה של 293 מיליון דולר חשפה את נקודת התורפה של גשרי הקריפטו

גשרי קריפטו חזרו למרכז תשומת הלב — ולא לטובה. פריצה של 293 מיליון דולר ל-Kelp DAO בסוף השבוע האחרון העלתה את נושא אבטחת הגשרים לראש סדר העדיפויות בתעשיית הקריפטו, כך מסר ארי רדבורד, ראש המדיניות והעניינים הממשלתיים העולמיים ב-TRM Labs.

"כאשר מודל האבטחה של גורם המנפיק 300 מיליון דולר מצטמצם למפתח החתימה של מתחזק יחיד, שטח ההתקפה מפסיק להיות טכני והופך למבני", כתב רדבורד ביום ראשון.

איך התבצעה הפריצה?

התוקף ניצל פונקציה במערכת ההודעות הצולבות של LayerZero, שליחת הודעה מזויפת שהציגה כאילו כספים התקבלו מגשר אחר. הגשר, שהתבסס על מתחזק יחיד לאישור הודעות, האמין להודעה המזויפת ושחרר אסימוני rsETH בשווי 293 מיליון דולר. בסך הכל, 116,500 אסימוני rsETH — כ-18% מההיצע במחזור — נוקזו בפריצה.

מהו Kelp DAO וכיצד הוא עובד?

Kelp DAO הוא פרוטוקול ריסטייקינג נזיל המבוסס על את'ריום, המאפשר למשתמשים להרוויח הן מדיבידנדים סטנדרטיים והן מייצור נוסף באמצעות EigenLayer. כאשר משתמשים מפקידים אסימונים מתאימים, הם מקבלים rsETH — אסימון סחיר שניתן להשתמש בו בפלטפורמות DeFi שונות, בעוד שהכספים המקוריים ממשיכים לתחזק מספר רשתות במקביל. מבנה זה מאפשר למשקיעים לשמור על הון פעיל מבלי לנעול אותו, תוך שמירה על נזילות ויצירת תשואות שכבות.

ההשלכות הרחבות של הפריצה

הפריצה ל-Kelp DAO מצטרפת להפסד של 286 מיליון דולר שספגה Drift בתחילת החודש, ומביאה את סך ההפסדים ב-DeFi באפריל ליותר מ-550 מיליון דולר.

איך פועלים גשרי קריפטו?

גשר צולב הוא תוכנה המחברת בין בלוקצ'ינים שונים, כגון את'ריום וארביטרום. כאשר משתמשים מעבירים אסימונים בין רשתות, הגשר מנעל את האסימונים המקוריים ויוצר אסימונים תואמים ברשת החדשה. תהליך זה תלוי במתחזקים — מחשבים מהימנים המאשרים את תקפות העסקה.

במקרה של Kelp DAO, הגשר הסתמך על מערך אימות מבוזר (DVN) מסוג 1/1, כלומר מתחזק יחיד היה בעל הסמכות לאשר הודעות צולבות. ברגע שהמתחזק הותקף או הוטעה, המערכת האמינה בהודעה המזויפית.

ההשפעה על השוק

רדבורד ציין כי ההשפעה לא הסתכמה ב-Kelp DAO בלבד. פרוטוקולים כמו Aave, SparkLend, Fluid ו-Upshift השעו שווקים הקשורים ל-rsETH. Aave לבדו רשם יותר מ-5.4 מיליארד דולר בהסגות את'ריום, כאשר משתמשים ניסו לצמצם חשיפה.

שני ניסיונות נוספים לרוקן עוד 100 מיליון דולר נבלמו לאחר שהגדרות החירום של Kelp DAO הקפיאו את החוזים תוך 46 דקות.

מה צריך לעשות כדי למנוע פריצות עתידיות?

רדבורד ממליץ על מספר צעדים להגברת האבטחה:

• מערכי מתחזקים מגוונים ברמות ההודעות הצולבות;
• ניטור בזמן אמת על זרימות הטבעה והצרבה;
• חתימות מרובות לפעולות חירום מהירות;
• תוכניות מגירה בין-פרוטוקוליות המתייחסות להתפשטות נזקים.

"אפריל היה חודש קשה לבנייני DeFi", כתב רדבורד.

לנס דאצקולו הוא כתב שווקים באירופה ב-DL News. יש לכם טיפ? שלחו אליו אימייל ל-[email protected].