DeFi-sector stort $14 miljard in als rsETH-hack Aave treft

De DeFi-sector kampt met de nasleep van een vermeende hack gelinkt aan Noord-Korea, die zich heeft verspreid over meerdere protocollen. Een van de grootste slachtoffers is Aave, waar de totale waarde in het protocol (TVL) met een derde daalde. De hack vond zaterdag plaats en betrof de diefstal van $290 miljoen aan Kelp DAO’s liquid staking token, rsETH, via de Layer Zero-brug.

De aanvallers deponeerden de gestolen rsETH in Aave en gebruikten het als onderpand om $236 miljoen aan WETH te lenen. Door de plotselinge liquiditeitscrisis en bevroren markten ontstond paniek onder gebruikers. Sinds zaterdag is bijna $9 miljard uit Aave verdwenen, en het protocol loopt mogelijk honderden miljoenen aan slechte schulden op. Wie de rekening uiteindelijk betaalt, is nog onduidelijk.

De hack

Layer Zero, de brug die tokens tussen blockchains verbindt, vermoedt dat de Lazarus Group – een door Noord-Korea gesponsorde hackersgroep – verantwoordelijk is voor de aanval. Zij zouden een zwakke plek in Kelp DAO’s ‘single-DVN-opstelling’ hebben uitgebuit. Deze opstelling maakt gebruik van een gedecentraliseerd verificatie-netwerk (DVN) om transacties te valideren. Kelp DAO koos voor een 1-op-1-configuratie, waarbij alleen Layer Zero’s DVN werd gebruikt.

Na een korte mededeling op X heeft Kelp DAO geen verdere updates gedeeld. In een bericht op X zei het team:

‘We hebben verdachte cross-chain activiteit met rsETH geïdentificeerd. We hebben de rsETH-contracten op mainnet en verschillende L2’s gepauzeerd terwijl we het onderzoeken. We werken samen met @LayerZero_Core, @unichain, onze auditors en topsecurity-experts aan een root cause analysis. We houden jullie op de hoogte.’

Layer Zero beweert dat hun DVN is gecompromitteerd via een ‘hooggesofisticeerde RPC-spoofing-aanval’. RPC’s zijn nodes die externe applicaties toegang geven tot blockchaingegevens. De aanval presenteerde alleen malafide informatie aan de getroffen DVN, waardoor monitoringssystemen werden omzeild. Daarnaast voerde de aanval een DDoS-aanval uit op onbedreigde RPC’s om een terugval naar de ‘besmette’ nodes te forceren.

Banteg, een ervaren DeFi-ontwikkelaar, reageerde kritisch op Layer Zero’s verklaring. Volgens hem suggereert de term ‘RPC-vergiftiging’ dat de aanval van buitenaf kwam, terwijl het in werkelijkheid een ‘gerichte implantatie binnen de vertrouwensgrens’ betrof. Hij waarschuwde: ‘Gegeven dat niet wordt uitgelegd hoe de inbraak heeft plaatsgevonden, zou ik niet haastig de bruggen weer inschakelen.’

De gevolgen

Naast de directe schade van de hack heeft de aanval vooral grote impact gehad op Aave, het vlaggenschip van de DeFi-leningprotocollen. In plaats van de gestolen rsETH te verkopen en de prijs te laten kelderen, gebruikten de aanvallers het als onderpand om $236 miljoen aan WETH te lenen. Dit blijkt uit een telling van blockchain-auditor PeckShield.

Volgens blockchainanalyses deponeerde de aanvallers de gestolen rsETH in meerdere leningsprotocollen, waaronder Aave V3, Compound V3 en Euler, om vervolgens grote hoeveelheden WETH te lenen. De plotselinge liquiditeitscrisis en het massale vertrek van gebruikers hebben het protocol ernstig verzwakt.