L'exploitation de KelpDAO n'est pas qu'un autre titre de piratage. C'est un rappel que dans les systèmes inter-chaînes, le plus grand risque n'est souvent pas l'actif lui-même, mais les hypothèses de confiance qui se trouvent en dessous.
Le 18 avril, le pont rsETH de KelpDAO a été exploité pour environ 116 500 rsETH, d'une valeur d'environ 290M$ à 292M$. LayerZero a déclaré que l'incident était isolé à la configuration DVN 1-of-1 de Kelp et résultait d'un compromis de l'infrastructure RPC sur laquelle reposait son DVN.
Les dommages ne se sont pas arrêtés au pont.
L'attaquant a utilisé des rsETH volés comme garantie sur Aave, ce qui a poussé les conséquences dans les marchés de prêt. Aave a gelé les marchés rsETH et wrsETH et a déclaré que le protocole lui-même n'avait pas été piraté, mais a averti que le résultat final de la mauvaise dette pourrait encore être sévère. Les rapports publics placent désormais la mauvaise dette potentielle à environ 124M$ à 230M$, selon la manière dont les pertes sont réparties.
C'est la partie à laquelle les gens devraient prêter attention.
Un exploit de pont est devenu un problème de prêt. Un choix de configuration est devenu un problème de confiance à l'échelle du système. Voilà à quoi ressemble la composabilité DeFi sous pression : une hypothèse faible en amont peut voyager rapidement et se manifester sous forme de pression de liquidité, de marchés gelés et de perte de confiance ailleurs. La réponse du gardien d'Aave a été rapide, mais l'événement montre encore à quel point il est difficile de contenir le risque une fois qu'un mauvais collatéral entre dans un protocole plus large.
Maintenant, le jeu des blâmes est pleinement ouvert.
LayerZero dit que la configuration à vérificateur unique de Kelp a créé le point de défaillance unique et dit qu'il avait longtemps recommandé la redondance multi-DVN. Kelp conteste cette version, arguant que la configuration de vérificateur 1 sur 1 était le défaut documenté de LayerZero et qu'aucun avertissement spécifique n'a été donné pour changer la configuration de rsETH.
En attendant, le Conseil de sécurité d'Arbitrum a déjà gelé 30 766 ETH liés à l'exploit, d'une valeur d'environ 71 millions de dollars, les déplaçant dans un portefeuille qui nécessite désormais une action de gouvernance supplémentaire pour être transféré.
Ce qui me frappe, c'est ceci : l'industrie continue de parler de décentralisation à un niveau superficiel, mais des incidents comme celui-ci concernent vraiment où la confiance se concentre discrètement. Pas dans des slogans. Dans les configurations de vérificateur. Dans les dépendances RPC. Dans des défauts que personne ne revoit jusqu'à ce qu'ils échouent.
Il n'y a toujours pas de plan de compensation unifié, et cette incertitude pourrait compter presque autant que l'exploit lui-même. La violation technique a été le premier choc. La réponse de coordination décidera des dommages à long terme.
Que pensez-vous qui nuit le plus à DeFi ici : l'exploit lui-même ou le fait que la responsabilité est toujours contestée après que les dommages soient déjà enregistrés sur la chaîne ?