Эксплойт Kelp на 292 млн $ разжигает дебаты о рисках DeFi в стиле 2008 года

Эксплойт Kelp DAO на сумму 292 млн $ поставил новые вопросы о рисках на рынках ликвидного рестейкинга и DeFi-кредитования. 

По имеющимся данным, атака затронула кроссчейн-мост rsETH протокола и затронула 116 500 rsETH, что составляет около 18% от объёма в обращении.

Инцидент не ограничился Kelp DAO. Aave зафиксировал крупные выводы средств, тогда как SparkLend и Fluid приостановили рынки rsETH. Lido также приостановил earnETH, имевший экспозицию к rsETH, несмотря на то что основной продукт stETH не пострадал.

Публикация DeFi-ориентированного аккаунта @whatexchange в X сравнила произошедшее с финансовым кризисом 2008 года. Автор написал: «Накопление слоёв активов не устраняет риск. Оно сжимает и скрывает его».

Многоуровневые доходные продукты оказались под пристальным вниманием

В публикации утверждается, что rsETH прошёл через несколько уровней до эксплойта. Сначала пользователи стейкали ETH через Lido и получали stETH. Затем этот stETH мог перемещаться в Kelp DAO и EigenLayer, где чеканился rsETH.

Токен rsETH затем использовался в качестве залога на кредитных платформах, таких как Aave, SparkLend и Fluid. Он также был переброшен через LayerZero на другие цепочки, создавая обёрнутые версии, зависящие от того же базового актива.

Анализ сравнил эту структуру с ипотечными продуктами до кризиса 2008 года. В нём говорится, что обе системы переупаковывали один базовый актив через несколько финансовых уровней, при этом каждый уровень полагался на корректную работу предыдущего.

Реакция рынка выявила скрытую экспозицию

После эксплойта Kelp DAO несколько DeFi-платформ предприняли шаги по снижению рисков. Aave заморозил рынки rsETH на несколько часов, тогда как SparkLend и Fluid приостановили аналогичные рынки. Ethena также в качестве меры предосторожности приостановила мосты LayerZero OFT, несмотря на отсутствие прямой экспозиции к rsETH.

По данным публикации, более 6,2 млрд $ покинули Aave менее чем за 36 часов. Автор отметил, что главной проблемой был не только масштаб эксплойта, но и сложность отслеживания косвенной экспозиции между протоколами.

В публикации говорится: «Ни один участник, включая сами протоколы, не может полностью отобразить свою сеть экспозиции». Добавляется, что когда пользователи не могут проверить экспозицию в режиме реального времени, они нередко реагируют выводом средств.

Дискуссия о рисках DeFi смещается в сторону системного дизайна

Публикация также затронула тему безопасности мостов. В ней утверждается, что Kelp использовал схему верификатора 1-of-1, то есть один узел верифицировал кросс-чейн сообщения до перемещения средств. Автор утверждает, что такой дизайн создал единую точку отказа внутри продукта, позиционируемого как децентрализованный.

Анализ также поставил под сомнение накопление доходности. В нём говорится, что каждый уровень добавляет новые риски, включая слэшинг валидаторов, риски рестейкинга, ошибки мостов, сбои контрактов и ликвидации в кредитовании.

В публикации сказано, что пользователям не следует оценивать DeFi-продукты только по APY. Утверждается, что более высокая доходность зачастую отражает скрытые риски в нескольких взаимосвязанных системах, а не простой пассивный доход.

Эксплойт Kelp DAO теперь стал частью более широкой дискуссии о безопасности, кредитном плече и прозрачности DeFi. Инцидент показал, как один сбой может затронуть пользователей сразу нескольких платформ, включая тех, кто не взаимодействовал с Kelp DAO напрямую.