Kelp DAO-hack van $293 miljoen toont zwakke plek van DeFi-bruggen

Cross-chain bruggen staan opnieuw in de schijnwerpers, maar deze keer niet om de juiste redenen. De hack van Kelp DAO met een verlies van $293 miljoen heeft de aandacht gevestigd op de kwetsbaarheden in deze cruciale infrastructuur voor gedecentraliseerde financiën (DeFi).

Ari Redbord, hoofd beleid en overheidszaken bij TRM Labs, waarschuwt:

‘Wanneer het beveiligingsmodel van een $300 miljoen-uitgever terugvalt op één validator, wordt het aanvalsoppervlak niet langer technisch, maar structureel.’

De aanval vond plaats toen een hacker 116.500 rsETH (ongeveer 18% van de circulerende voorraad) wist te stelen door een functie in het LayerZero cross-chain berichtenprotocol te misbruiken. Simpel uitgelegd: de hacker stuurde een nepbericht dat suggereerde dat Kelp DAO’s brug geld had ontvangen van een andere blockchain. De brug geloofde dit signaal en zette de tokens vrij.

Wat is Kelp DAO?

Kelp DAO is een liquid restaking protocol op Ethereum. Het stelt gebruikers in staat om zowel standaard stakingbeloningen als extra opbrengsten uit restaking via EigenLayer te verdienen. Wanneer gebruikers geschikte tokens deponeren, ontvangen ze rsETH – een verhandelbaar token dat op DeFi-platforms kan worden gebruikt. Ondertussen blijven de onderliggende fondsen meerdere netwerken beveiligen. Dit systeem houdt kapitaal liquide en genereert extra rendement zonder dat investeerders hun vermogen hoeven te blokkeren.

Deze hack volgt op het verlies van $286 miljoen bij Drift op 1 april, waardoor de totale DeFi-verliezen deze maand uitkomen op meer dan $550 miljoen.

Hoe werken cross-chain bruggen?

Een cross-chain brug is software die verschillende blockchains met elkaar verbindt, zoals Ethereum en Arbitrum. Wanneer gebruikers tokens tussen ketens verplaatsen, blokkeert de brug de originele tokens en creëert het equivalente tokens op de nieuwe keten. Dit proces is afhankelijk van validators – betrouwbare computers die controleren of een transactie op de blockchain legitiem is.

In het geval van Kelp DAO was de brug te misleiden door een nepbericht. Omdat slechts één validator was ingesteld om deze berichten goed te keuren, ontstond er een enkel punt van falen. Zodra deze validator werd gecompromitteerd of misleid, vertrouwde het hele systeem op een vals signaal.

Kelp DAO gebruikte een zogenaamde 1/1 Decentralised Verifier Network (DVN), wat betekent dat één enkele validator de autoriteit had om cross-chain berichten goed te keuren. Dit maakte de aanval mogelijk.

Gevolgen voor andere protocollen

De gevolgen van de hack reikten verder dan Kelp DAO alleen. Protocollen zoals Aave, SparkLend, Fluid en Upshift moesten markten gekoppeld aan rsETH tijdelijk sluiten, aldus Redbord. Bij Aave alleen werden meer dan $5,4 miljard aan ether teruggetrokken toen gebruikers hun blootstelling probeerden te beperken.

Gelukkig werden twee verdere pogingen om nog eens $100 miljoen te stelen, voorkomen. Kelp DAO bevroor binnen 46 minuten de contracten via een noodmultisignatuurportemonnee.

Oplossingen voor betere beveiliging

Redbord benadrukt dat de oplossing ligt in betere verdedigingsmechanismen:

• Diversere validatorsets op berichtenlagen;
• Real-time monitoring van mint- en burn-processen;
• Snel werkende pauser-multisigs;
• Cross-protocol noodplannen die uitgaan van besmetting.

‘April is een moeilijke maand geweest voor DeFi-ontwikkelaars,’ concludeert Redbord.