Oleh | Odaily Planet Daily(@OdailyChina)
Penulis|Azuma(@azuma_eth)
Sudah lebih dari 30 jam sejak kontrak bridging rsETH Kelp DAO disalahgunakan, dan meskipun pihak-pihak yang terlibat (LayerZero, Kelp DAO, Aave) telah memberikan pernyataan (terutama "lempar tanggung jawab", menekankan bahwa mereka tidak bersalah), solusi akhir belum diberikan.
Oleh karena itu, artikel ini ingin membahas posisi dan sikap para pihak yang terlibat saat ini, mengeksplorasi alasan mengapa finalisasi solusi tertunda, dan mencoba menebak bagaimana akhirnya peristiwa ini dapat diselesaikan.
Catatan Odaily: Untuk latar belakang, lihat "DeFi Kembali Dicuri $292 Juta, Apakah Aave Tidak Aman Lagi?".
Siapa yang Seharusnya Bertanggung Jawab?
Pertama, mari kita bahas masalah penentuan tanggung jawab.
Berdasarkan pengungkapan detail dari pihak LayerZero, penyebab langsung kejadian ini sudah cukup jelas, yaitu infrastruktur RPC hilir yang diandalkan oleh jaringan validator terdesentralisasi (DVN) yang dioperasikan oleh LayerZero telah diretas (lihat analisis pendiri SlowMist, Yu Xian), dan karena kontrak bridging Kelp DAO menggunakan DVN 1/1, penyerang hanya perlu menyelesaikan satu verifikasi pesan palsu untuk menyelesaikan serangan.
Pihak LayerZero berpendapat bahwa Kelp DAO, yang menggunakan konfigurasi DVN 1/1, adalah pihak yang paling bertanggung jawab langsung dalam peristiwa ini. Ini tidak perlu dipertanyakan lagi, "single point of failure" yang begitu jelas benar-benar keterlaluan.
Namun, sebagai protokol lintas rantai dasar, LayerZero juga seharusnya memikul sebagian tanggung jawab. LayerZero memungkinkan setiap aplikasi lapisan atas untuk mengonfigurasi jumlah dan ambang batas DVN sendiri, meskipun DVN 1/1 adalah pilihan Kelp DAO sendiri, tetapi sebagai perancang arsitektur dasar, juga harus menghindari pengaturan yang memiliki kelemahan jelas seperti ini.
Terakhir adalah protokol peminjaman seperti Aave (di sini difokuskan pada Aave), meskipun juga termasuk pihak yang dirugikan secara tidak langsung, tetapi secara objektif, Aave memberikan izin peminjaman yang terlalu tinggi untuk aset LRT seperti rsETH untuk tujuan ekspansi, yang juga merupakan penyebab langsung mereka terjebak dalam situasi pasif saat ini. Selain itu, patut disebutkan bahwa tim manajemen risiko sebelumnya Aave, BGD Labs (sekarang telah berpisah dengan Aave), pada Januari tahun lalu secara khusus menunjuk masalah DVN Kelp DAO, Kelp saat itu menerima saran, tetapi jelas tidak mengubahnya...... Aave tidak terus mengawasi dan mengambil tindakan yang sesuai, juga merupakan akibat dari perbuatannya sendiri.
Jadi penentuan tanggung jawab cukup jelas, Kelp DAO bertanggung jawab utama, LayerZero bertanggung jawab sekunder, Aave juga memiliki sebagian tanggung jawab tidak langsung.
Realitas yang Canggung
Keadaan nyata selalu lebih rumit dari perkiraan teoritis. Masalah paling krusial adalah, tim Kelp DAO yang seharusnya bertanggung jawab utama tidak memiliki cukup uang untuk menutupi lubang ini...... Langsung mengurangi kerugian dari semua rsETH atau menusuk pemegang token Layer2, pada dasarnya adalah jalan buntu.
Lalu siapa yang punya uang? Pertama adalah LayerZero, yang mengalami krisis reputasi karena peristiwa ini, telah dinonaktifkan sementara oleh banyak institusi dan protokol seperti Bitgo, Tron, Ethena, Curve, ether.fi, dan melihat kemungkinan kehilangan banyak pangsa pasar lintas rantai; Kedua adalah Aave, yang menghadapi potensi kredit macet besar, menyaksikan ratusan miliar dolar TVL mengalir keluar.
Jadi sekarang "maksud tersembunyi" masing-masing pihak sudah jelas. Pihak yang bertanggung jawab utama, Kelp DAO,基本上已瘫痪, tidak mampu memimpin ganti rugi selanjutnya, apa yang harus dilakukan perlu berdiskusi dengan dua kakak besar; Sementara itu, pihak yang bertanggung jawab sekunder dan tidak langsung yang memiliki kemampuan ganti rugi, LayerZero dan Aave,都已表态自身协议并不存在漏洞, jelas tidak打算轻易接下这么大一口锅...... Jadi sekarang situasinya似乎有些僵住了.
Tapi saya tidak认为这一情况会持续太久,原因在于两大协议都有着尽快解决问题的需求 —— LayerZero 不可能放弃自己的 OFT 跨链生态版图; Aave 也不可能无视存量资金的持续外流.
Kunci Permainan Pihak-Pihak
Pagi ini, Aave pernah merilis pernyataan pembaruan mengenai peristiwa ini, poin informasi paling penting dalam pernyataan itu adalah —— Aave menekankan "rsETH di mainnet Ethereum didukung dengan cukup".
Bagaimana memahami kalimat ini? Perlu dimulai dari desain rsETH.
rsETH pada dasarnya adalah token bukti staking ulang likuiditas yang diterbitkan oleh Kelp DAO, setiap 1 rsETH didukung oleh 1 ETH yang berada dalam sistem staking dan staking ulang, jalurnya adalah "ETH - Lido - EigenLayer - Kelp DAO - rsETH".
rsETH di mainnet adalah token bukti asli yang diterbitkan Kelp DAO di Ethereum, kemudian untuk berekspansi di ekosistem Layer2, Kelp DAO akan mengandalkan kontrak bridging lintas rantai LayerZero (yaitu hal yang bermasalah dalam peristiwa ini) untuk memetakan rsETH mainnet ke berbagai Layer2. Setiap 1 rsETH yang diterbitkan di Layer2, rsETH di mainnet juga akan disimpan ke dalam kontrak escrow Kelp DAO, dan akan dilepaskan ketika rsETH di Layer2跨链 kembali ke mainnet.
Baik, sekarang kembali ke kecelakaan itu sendiri. Sebelumnya disebutkan alasan pencurian, yaitu peretas menipu DVN untuk memalsukan pesan lintas rantai, menyebabkan kontrak bridging "salah melepaskan" 116.500 rsETH —— Perhatikan, ini bukan mencetak koin baru, tetapi mengambil token bukti asli dari mainnet yang seharusnya tidak dilepaskan.
Masalahnya ada di sini, bagian token ini telah beredar di Layer2 melalui metode pemetaan, token di mainnet dalam keadaan disegel, tetapi setelah peretas berhasil, mereka menyimpannya ke dalam protokol peminjaman seperti Aave dan meminjam WETH yang lebih likuid, sehingga完成出逃 —— Sekali lagi ditekankan, rsETH yang disimpan peretas adalah nyata, jadi Aave才会 mendukung行为抵押借贷 token ini.
Sekarang kembali melihat pernyataan Aave menjadi sangat menarik. Kalimat "rsETH di mainnet Ethereum didukung dengan cukup" sebenarnya mengatakan: "Koin-koin ini semuanya nyata, Kelp DAO, kamu harus mendukung kami mengambil koin ini untuk menebus ETH底层 (kontrak ditangguhkan, sekarang tidak bisa ditebus)...... Adapun rsETH versi pemetaan Layer2 yang kehilangan dukungan rsETH mainnet, saya tidak bisa mengurusnya!"
Ini应该是 kecenderungan Aave. Meskipun menekankan nilai rsETH mainnet berarti mengabaikan nilai rsETH versi pemetaan Layer2, dan karena Aave sendiri juga memiliki sejumlah posisi utang rsETH dalam produk peminjaman di atas Layer2 (skala real-time adalah $359 juta), ini juga akan menyebabkan beberapa kredit macet. Tetapi memilih yang lebih ringan dari dua bahaya, Aave大概率 mengevaluasi dampak potensial dari dua opsi, dan认为 menjaga produk inti mainnet lebih sesuai dengan kepentingan terbesarnya.
Tapi ini hanya pernyataan dari Aave一家, bagaimana akhirnya peristiwa ini diselesaikan, masih harus dilihat apakah dapat disepakati dengan LayerZero以及 Kelp DAO.
Meskipun yang terakhir暂时尚未有进一步的声明, saya pribadi认为 LayerZero sulit menerima skema ini, karena mengabaikan token pemetaan Layer2 akan langsung mengancam reputasi跨链 LayerZero.
Solusi Potensial
Masalah终究是要解决的.这两天社交媒体上的各路大佬也都在给 Aave、LayerZero、Kelp DAO 出主意.
Pendiri DefiLlama 0xngmi telah memprediksi tiga kemungkinan jalur, tetapi juga mengatakan bahwa ketiga jalur memiliki kelemahan yang jelas. Jalur pertama adalah semua pemegang rsETH bersama-sama menanggung pengurangan nilai 18.5% (rasio token yang hilang/token yang diterbitkan), Kelp DAO自己背好锅, Aave juga harus menanggung kredit macet sekitar $216 juta di mainnet; Jalur kedua adalah mengabaikan nilai semua rsETH versi pemetaan Layer2, sehingga produk mainnet Aave akan terlindungi, tetapi peta Layer2可能会崩盘, reputasi Kelp DAO也会归零; Jalur ketiga adalah membayar lunas pemegang rsETH sebelum serangan peretas sesuai snapshot, pemegang yang membeli atau mentransfer setelahnya则自行承担损失, tetapi karena dana telah banyak bergerak setelah serangan,实际上几乎不可能操作完成.
Pendiri OneKey Yishi则表示: "Sekarang hasil terbaik adalah bisa bernegosiasi dengan peretas, memberikan bounty 10–15%, mengambil kembali sebagian besar, semua pihak senang. Jika tidak bisa disepakati, dana ekosistem LayerZero mengeluarkan sebagian besar, dia最有钱、最有长期利益,赔偿了还能保住 OFT 生态. Kelp DAO最穷,要么代币 + 未来收入补,或者干脆整个项目打包卖给 LayerZero 或 Bitmine. Payung Aave dan stkAAVE menanggung lapisan terakhir, tetapi penyimpan WETH绝对不能吃价值减计,不然的话 Morpho、Spark、Fluid、Euler 全部跟着重定价,整体 LRT 赛道被拉黑,整个 DeFi 行业倒退三年."
Bagaimanapun,各方肯定是要继续再掰扯一阵子的,毕竟涉及到上亿级别的真金白银,谁也不想当那个最大的冤种.
至于还需要多少时间给出方案,前边也提到了,两大巨头都不敢拖太久.LayerZero 现在被各大合作机构、协议强制摁下了暂停键,拖久了这些合作方肯定会换跨链路径; Aave 情况也不容乐观,多个资金池的使用率都已达到了 100%,存款人处于“套牢”状态......如果 ETH 突然猛跌,Aave 很可能会因为无法有效清算(目前确实如此)而出现更多坏账,最终会导致问题像滚雪球一样越滚越大 —— 真要到了这一步,行业的根基可能都会受挫,显然没人会乐意看到这种情况.
