rsETH攻撃は、4月18日土曜日の夜に始まり、1週間以内に単一のブリッジハックからDeFi史上最大の流動性危機の一つへとエスカレートしました。116,500 rsETH、約$292 百万相当が、KelpDAOのLayerZeroベースのrsETHブリッジ上の偽のメッセージを通じて発行されました。攻撃者はその後、これらの「裏付けのない」トークンをAaveに直接預け入れ、実質的に実資産を借り入れました。以下は今週の出来事の概要です。

攻撃の仕組みはどうだったのか？

LayerZeroのシングルバリデータ(1-of-1)構成を利用し、KelpDAOのブリッジは攻撃者の偽のlzReceiveメッセージを検証しました。これにより、rsETHはウォレットにETHをロックせずに発行されました。

これらのrsETHは数分以内にAave V3に担保として預け入れられました。プロトコルはその性質上、リクエストを受け入れ、攻撃者は約$190 百万相当のWETH、wstETH、ステーブルコインを引き出しました。Aaveは後に、「システムは設計通りに動作したが、問題は担保が詐欺的だったことだ」と述べました。

同じトークンはArbitrumやBaseのAaveマーケットでも使用されました。初期推定によると、総赤字は$123 百万から$230 百万の範囲です。

Aaveへの銀行引き出し

ニュースが広まると、ユーザーはパニックに陥りました。土曜日の夜に$45.8億だったAaveの総供給量は、水曜日の朝には$30.8億に減少しました。約$15 億の資金流出は、プロトコル史上最速の引き出しでした。

最も重要な瞬間は、USDTとUSDCプールが100%使用率に達したときです。約$5 億相当のステーブルコインが使えなくなり、借り手が返済できなかったためです。ユーザーは「私の資金がロックされている」とXで抗議しましたが、AAVEトークンは3日間で17.7%価値を失いました。

Aaveの管理チームは、Ethereum、Arbitrum、Optimism上のrsETHマーケットを凍結しました。新たな担保預入と借入は停止されました。

凍結と追跡

月曜日、Arbitrumセキュリティ評議会は攻撃者のウォレットにあった30,766 ETH、約$71 百万を凍結し、未監視の金庫に移しました。これにより分散化の議論が巻き起こりましたが、少なくとも一部の資金は回収されました。

残りの資金は急速にマネーロンダリングされています。オンチェーンの探偵は、攻撃者が34,500 ETH、約$175 百万をTHORChainを通じてビットコインに変換したと判断しています。より小さな額はUmbraプライバシープロトコルを経由してルーティングされました。LayerZeroは、この攻撃を北朝鮮関連のラザルスグループの「TraderTraitor」セルに起因するとしています。

DeFi連合：セクターの反撃

週の中頃、異例の動きがありました。Aave、Spark、Morpho、Curve、Mantleは「DeFi United」と呼ばれるリカバリープールを結成しました。目的はrsETHの担保を再構築することです。

最初に、43,500 ETH、約$101 百万が共通プールに預けられました。
MantleはAaveに30,000 ETHのクレジットラインを開設し、「必要ならトレジャリーから寄付する」と述べました。
これまでに$204 百万以上の資産が返済され、流動性も正常化し始めています。

KelpDAOチームはすべてのrsETHコントラクトを停止し、LayerZeroを使ったブリッジの書き換えを進めています。LayerZeroは、すべてのシングルバリデータ構成をキャンセルし、メッセージ署名も停止したと発表しました。

では、今のrsETHの状況はどうなっているのか？

トークンは依然としてETHと1対1で裏付けられていません。市場では6-8%のディスカウントで取引されています。Aaveはまだ損失の社会化を決めていません。選択肢は3つです。

Aaveのトレジャリーによる補填
rsETHホルダーへの損失の移転
DeFi Unitedプールを使った段階的買い戻し

ユーザーにとって最も緊急の問題はロックされたステーブルコインです。Aaveは、借り手の返済が進むにつれてUSDT/USDCの引き出しを再開するとしています。

教訓は何か？

$292 百万の攻撃は、設定ミスの1行がDeFiのTVL$14 億を一掃する可能性を示しました。「インフラ」プロジェクトであるLayerZeroは、コードだけでなく運用のセキュリティも責任を負うことになったのです。

#rsETHAttackUpdate ハッシュタグで共有された最新のデータによると、危機の最悪期は過ぎたものの、傷は癒えていません。Arbitrumの凍結で$71 百万が救われ、DeFi Unitedは$100 百万を調達しましたが、まだ$120 百万の赤字があります。

このセクターにとって、これは2022年のTerra崩壊以来最大の「信頼の試練」です。Aaveがダメージを吸収すれば、DeFiの「コードは法」的な物語は「コミュニティ保険」へと変わるでしょう。そうでなければ、rsETHホルダーとAave預金者の間で長期的な法的争いが始まる可能性があります。

1週間前に始まったこの攻撃は、今やKelpDAOだけでなく、リステーキングエコシステム全体の問題となっています。