DeFi-turvallisuusstandardit ja keskitetyt pullonkaulat
Curve-perustaja Michael Egorov vaatii ketjun laajuisia DeFi-turvallisuusstandardeja sen jälkeen, kun Kelp rsETH -hyökkäys paljasti, kuinka ”keskitetyt” pullonkaulat voivat edelleen tuhota oletetusti hajautettuja järjestelmiä. Egorov on kutsunut alaa kehittämään laajempia DeFi-turvallisuusstandardeja, kuvaillen ”vähennettävien” hyökkäysten aalloksi, joita ohjaavat keskitetyt yksittäiset epäonnistumispisteet.
”Suuri määrä vältettävissä olevia turvallisuusongelmia DeFi:ssä johtuu keskitetystä yksittäisestä epäonnistumispisteestä, joka vahingoittaa koko teollisuutta.”
Egorov kehotti tiimejä suunnittelemaan nämä pullonkaulat pois sen sijaan, että yritettäisiin ”korjata” tappioita jälkikäteen. Hän uskoo, että DeFi on tulevaisuus maailman rahoitusjärjestelmässä, ja on huolissaan viimeaikaisista hakkereista, jotka ovat täysin estettävissä.
KelpDAO:n rsETH-hyökkäys
Egorovin kommentit seuraavat KelpDAO:n rsETH-hyökkäystä, jossa hyökkääjä tyhjensi noin 116 500 rsETH:n, arvoltaan noin 292 miljoonaa dollaria, vääntämällä ristiketjun viestin. Hyökkääjä käytti varastettuja tokenit Aaveen vakuudeksi, mikä amplifioi vahinkoa DeFi:n yhteensopivuuden kautta.
LayerZero, joka tarjosi KelpDAO:n viestintäkerroksen, mukaan rikkomus oli mahdollista, koska Kelp käytti vain yhtä 1-of-1 DVN-tarkistajaa ilman varajärjestelmää. Tämä loi yksittäisen epäonnistumispisteen, jota Egorov sanoo, ettei pitäisi olla nykyaikaisessa DeFi-infrastruktuurissa.
Kun väärennetty viesti hyväksyttiin, hyökkääjä käytti rsETH:ta Aave V3:ssa lainatakseen suuria määriä pakattua eteeristä, mikä laukaisi yli 10 miljardia dollaria ulosvirtausta Aaveesta, kun käyttäjät kiirehtivät nostamaan varoja. Samalla protokolla jäädytti rsETH-markkinat V3:ssa ja V4:ssä riskin hallitsemiseksi.
Teollisuuden reaktiot ja tulevaisuuden suuntaviivat
Teollisuuden seurannat arvioivat laajempien Kelp-liittyvien tappioiden olevan noin 293 miljoonaa dollaria. Yhdeksän liitettyä protokollaa keskeytti tai rajoitti rsETH-toimintaa, ja Arbitrumin turvallisuusneuvosto takavarikoi myöhemmin noin 30 766 ETH:ta, joka liittyi hyökkääjään.
”Siltojen, oraclejen, hallintomultisignaturejen ja hallintavälineiden voi tulla piilotetuiksi keskitetuiksi riippuvuuksiksi, vaikka peruslainaus- tai AMM-sopimukset pysyvät muodollisesti hajautettuina ja auditoituina.”
Egorov haluaa projektien, tarkastajien ja riskitiimien jakavan konkreettisia parhaita käytäntöjä kaikesta ristiketjun tarkistajista ja nopeusrajoista multisig-politiikkoihin ja tappokytkimiin. Hän ehdotti, että Ethereum Foundation ja Solana Foundation auttaisivat kokoamaan työn, väittäen, että säätiön tukemat ohjeet voisivat toimia yhteisenä sääntökirjana.
Kuten yksi kommentoija tiivisti teollisuusraportissa, toistuvat epäonnistumiset, kuten rsETH-hyökkäys ja myöhempi Aave-jännitys, riskoivat vakiinnuttavan käsityksen siitä, että ”sen sijaan, että poistettaisiin yksittäiset epäonnistumispisteet, teollisuus jatkaa niiden uudelleenrakentamista”, heikentäen DeFi:n ydinarvoa vaihtoehtona läpinäkymättömille, hauraalle TradFi-raiteille.
