Kelp DAO refuta as críticas da LayerZero; as perdas incobráveis da Aave atingem um máximo de 230 milhões de dólares

A Kelp DAO emitiu um comunicado em 21 de abril, refutando as críticas da LayerZero à sua configuração de 1/1 DVN, atribuindo a responsabilidade fundamental pela falha de 292 milhões de dólares à infraestrutura da LayerZero. A Aave publicou um relatório de avaliação do impacto do evento: num cenário de perdas distribuídas de forma uniforme, cerca de 124 milhões de dólares; num cenário com perdas concentradas em L2, até 230 milhões de dólares.

Refutação da Kelp DAO: a configuração predefinida de DVN e o alvo do ataque são a infraestrutura da LayerZero

A LayerZero tinha criticado, no seu relatório do incidente, que a Kelp DAO adotou uma configuração de 1/1 DVN que cria um único ponto de falha, e afirmou que já tinha transmitido à Kelp DAO recomendações de melhores práticas para a utilização de validação distribuída. A Kelp DAO respondeu diretamente: «A configuração 1 para 1 de DVN é a configuração predefinida registada nos documentos da LayerZero, aplicável a todas as novas implementações de OFT. Desde janeiro de 2024, a Kelp tem estado a operar na infraestrutura da LayerZero, e esta configuração foi explicitamente confirmada como adequada durante a expansão para L2.»

A Kelp DAO indicou também que as suas medidas de resposta foram eficazes para impedir perdas adicionais — suspenderam todos os contratos relacionados, colocaram carteiras associadas ao atacante na lista negra e contactaram a SEAL-911. Estas medidas foram bem-sucedidas em impedir a tentativa do atacante de furtar, de novo, 40.000 unidades de rsETH (cerca de 95 milhões de dólares) através da falsificação de pacotes de dados.

Análise de créditos de cobrança duvidosa da Aave: dois cenários, até 230 milhões de dólares

（Fonte: Aave）

Os atacantes forneceram 89.567 rsETH (cerca de 2,21 mil milhões de dólares) como colateral para o Aave V3, e contraíram 82.650 WETH e 821 wstETH, fazendo com que o coeficiente de saúde das posições relevantes fosse extremamente baixo. A Aave avaliou dois cenários hipotéticos:

Cenário um (distribuição uniforme): perdas de aproximadamente 112.204 rsETH distribuídas de forma uniforme por todas as cadeias; rsETH desancorou 15,12%; a cobrança duvidosa geral da Aave foi de cerca de 123,7 milhões de dólares. O maior prejuízo absoluto ocorre no mercado principal de Ethereum (91,8 milhões de dólares), mas as reservas de WETH são suficientes, havendo apenas uma lacuna de 1,54%; a percentagem de lacuna mais elevada ocorre no mercado Mantle, atingindo 9,54%.

Cenário dois (perdas concentradas em L2): as perdas estão concentradas em L2 rsETH; o colateral de L2 foi reduzido em 73,54%; a cobrança duvidosa no mercado de L2 (Mantle, Arbitrum, Base) atinge 230,1 milhões de dólares, enquanto o rsETH da mainnet Ethereum está totalmente suportado.

A Aave assinalou: «Qualquer que seja o caso, depende da forma como a Kelp trata contabilisticamente o rsETH e da forma como a atualização da taxa de câmbio do LRTOracle é efetuada — são decisões que a Aave não consegue controlar.»

Reserva de capital da Aave e planos subsequentes

No cenário um, o fundo Umbrella de WETH da Aave, no valor de 54 milhões de dólares, pode ser utilizado como garantia inicial; no cenário dois, esse fundo não será acionado. A Aave DAO detém atualmente 181 milhões de dólares em ativos e já recebeu vários compromissos de apoio, fornecidos por participantes do ecossistema, em caso de cobrança duvidosa. A Kelp DAO afirmou que está a trabalhar em conjunto com a Aave, a LayerZero e todos os principais intervenientes, para avaliar em simultâneo os próximos passos para a recuperação da operação do protocolo e potenciais soluções de mitigação.

Perguntas frequentes

Qual é o cerne da disputa de responsabilidades entre a Kelp DAO e a LayerZero?

A controvérsia centra-se na configuração de 1/1 DVN. A LayerZero considera que a Kelp DAO adota uma configuração com apenas um DVN, o que cria um único ponto de falha, e que já tinha fornecido recomendações de segurança. A Kelp DAO refuta, afirmando que 1/1 DVN é a configuração predefinida configurada pela LayerZero para todas as novas implementações, e que durante a expansão para L2 foi confirmada pela LayerZero como adequada; o verdadeiro buraco de segurança está no facto de os seus próprios nós RPC da LayerZero terem sido comprometidos.

Como é que os dois cenários de cobrança duvidosa da Aave foram calculados?

O cenário um assume perdas de aproximadamente 112.204 rsETH distribuídas de forma uniforme por todas as cadeias, com rsETH a desancorar em 15,12%, o que corresponde a uma cobrança duvidosa de cerca de 123,7 milhões de dólares na Aave. O cenário dois assume perdas concentradas em L2: o colateral de L2 em rsETH é reduzido em 73,54%, e a cobrança duvidosa no mercado de L2 atinge 230,1 milhões de dólares. A principal divergência entre os dois cenários está na forma como a Kelp decide, em última instância, atribuir a responsabilidade pelas perdas.

Que recursos de capital tem a Aave para lidar com potenciais cobranças duvidosas?

A Aave tem um fundo Umbrella de WETH no valor de 54 milhões de dólares (disponível no cenário um), ativos da Aave DAO no valor de 181 milhões de dólares e vários compromissos de apoio por parte de participantes do ecossistema. Se a cobrança duvidosa exceder a margem acima, de acordo com o desenho do módulo de segurança da Aave, os detentores de tokens de participação stkAAVE poderão fornecer cobertura para a lacuna remanescente através do mecanismo de Slashing.