Aave publie une enquête post-attaque sur le bridge Kelp rsETH

Concernant l'attaque du bridge LayerZero V2 de Kelp rsETH survenue le 18 avril, Aave a publié une enquête post-incident sur la plateforme X, soulignant que l'exposition était principalement due à l'infrastructure de pont tierce et non au protocole lui-même. L'attaquant a exécuté une attaque par empoisonnement RPC ciblant un seul validateur de LayerZero, falsifiant un message inter-chaînes. Cela a conduit à l'émission de 116 500 rsETH sur le réseau Ethereum sans destruction réelle sur Unichain. L'attaquant a ensuite déposé les rsETH volés sur Aave V3 (Ethereum Core et Arbitrum), empruntant environ 82 650 WETH et 821 wstETH.

Le gardien du protocole Aave et le Risk Steward ont immédiatement mis en œuvre des mesures de protection pour les réserves de rsETH et de WETH. Actuellement, les marchés WETH et rsETH du déploiement V3 affecté fonctionnent normalement. Les rsETH détenus par l'attaquant sur Arbitrum ont été détruits, l'adaptateur OFT de LayerZero a été entièrement rechargé en cinq lots, le support des rsETH a été totalement rétabli, et Kelp a rouvert les fonctions de retrait, de pontage et de réclamation pour les rsETH. Le LTV du WETH sur le marché affecté a été réinitialisé à sa valeur d'avant l'attaque, et Aave V3 est pleinement opérationnel sur tous les marchés, à l'exception du rsETH.

La DAO d'Arbitrum a voté pour autoriser le transfert des ETH gelés vers Aave LLC, et attend actuellement une exécution on-chain. Le tribunal examine toujours le contenu de l'injonction, et Aave LLC continuera de s'y conformer pendant les délibérations. Les projets en cours comprennent : le cadre de risque Aave de Llama Risk, le cadre d'évaluation des ponts, la publication de rapports d'évaluation pour les actifs actuellement en ligne, l'exécution on-chain des votes de la DAO d'Arbitrum et l'examen de l'injonction par le tribunal.