אנליסט Certik: פרצת KelpDAO חושפת שינוי עתיר-סיכונים בפשיעת סייבר בין-שרשרתית

נקודות עיקריות:

• מועצת האבטחה של Arbitrum ו‑SEAL 911 הקפיאו 30,766 ETH ב‑18 באפריל כדי למתן את שוד Kelp DAO.
• אנליסט Certik ונז׳או דונג מזהיר כי גניבות מגשרים יוצרות כעת חוב אבוד מערכתי לפלטפורמות כמו Aave.
• Kelp DAO שואפת להשיב את הצמדת rsETH ולשחזר את יתרת 220 מיליון הדולר בנכסים דיגיטליים חסרים.

אבטחה מול ריבונות

ההתערבות המהירה של מועצת האבטחה של Arbitrum (ASC) להקפיא 30,766 ETH הציתה מחדש אחד הוויכוחים היסודיים ביותר בבלוקצ’יין: המתח בין ביזור בלתי־ניתן לשינוי לבין ממשל פרגמטי.

בעוד שהשבת 71 מיליון דולר ב‑ETH היא ניצחון ברור עבור הקורבנות, השיטה פילגה את הקהילה לשני מחנות מובחנים. מצד אחד, טהרנים טוענים כי היכולת של ה‑ASC להקפיא נכסים באופן חד־צדדי היא “מדרון חלקלק” לעבר המערכות הפיננסיות הריכוזיות שמטבעות קריפטו נועדו להחליף. לטענתם, אם מועצה יכולה לצנזר האקר היום, ניתן יהיה לכפות עליה לצנזר מחר מתנגד פוליטי או עסק חוקי. בעיני קבוצה זו, התערבות של “אדם בתוך הלולאה” היא פגיעוּת מערכתית שמערערת את ההבטחה המרכזית של היעדר צורך באמון.

מן הצד השני, פרגמטיסטים רואים בביזור מוחלט יעד שאפתני לטווח ארוך ולא דרישה ליום הראשון. לטענתם, כדי שמימון מבוזר (DeFi) יגיע לאימוץ המוני, עליו לכלול “מפסקי חירום” לצמצום הפסדים קטסטרופליים. מנקודת מבט זו, ה‑ASC הוא אמצעי הגנה נחוץ — “מכבי אש דיגיטליים” — המספק את האחריותיות הנדרשת כדי להגן על משתמשים מפני שחקנים מתוחכמים בחסות מדינה כמו קבוצת לאזרוס.

כפי שדווח על ידי Bitcoin.com News וכלי תקשורת נוספים, ה‑ASC פעלה על בסיס מידע מרשויות אכיפת החוק לגבי זהות המנצל. המועצה מסרה כי שקלה את מחויבותה לביטחון ולשלמות קהילת Arbitrum תוך הבטחה שלא תהיה השפעה על משתמשי Arbitrum או על יישומים.

בעוד שההקפאה מספקת הקלה זמנית, מומחה אחד הזהיר כי השוד מייצג שלב חדש ומסוכן יותר של פשיעה ב‑DeFi, שבו פגיעויות בגשרים משמשות באופן שיטתי להדבקת שווקי הלוואות.

בניתוח שלאחר האירוע של אסטרטגיית התוקף, ונז׳או דונג, אנליסט בלוקצ’יין ב‑Certik, ציין כי קבוצת לאזרוס הנתמכת בידי צפון קוריאה הציגה הבנה מתוחכמת של נזילות השוק. דונג ציין כי, בניגוד לאירוע Hyperbridge האחרון incident — שבו התוקפים הטביעו מיליארד Polkadot אך הצליחו להמיר רק כ‑240,000 דולר לפני שהמחיר קרס — תוקפי Kelp DAO בחרו נתיב “מימוש” יעיל יותר.

“הניצול של Kelp DAO מראה דפוס סיכון ברור ב‑DeFi המודרני”, אמר דונג. “פגיעות בגשר לא נשארת מבודדת; היא הופכת לבעיה עבור שווקי ההלוואות. באמצעות שימוש ב‑rsETH שהוטבע באופן כוזב כבטוחה ב‑Aave כדי ללוות WETH, התוקף הפך גניבת גשר לחוב אבוד של Aave.”

דונג ציין כי התוקפים נמנעו במכוון משווקי ספוט, שבהם הוראות מכירה ענקיות היו גורמות להחלקה ולזיהוי מוקדם. במקום זאת, באמצעות שימוש ב‑Aave כמתווך, הם העבירו את הסיכון אל פרוטוקול ההלוואות.

“אבטחת DeFi היא מקושרת”, הוסיף דונג. “פרוטוקולים אינם יכולים להתמקד רק בחוזים שלהם; עליהם לשקול את הסיכונים שמציבה כל תלות במערכת שלהם וליישם בהתאם אמצעי הגנה.”

בעדכון update ששותף שעות לאחר שה‑ASC הודיעה על ההקפאה, Kelp DAO הביעה תודה על “הפעולה הנחרצת” שנקטה המועצה. היא ייחסה את “התיאום ומבנה המידע” של SEAL 911 כגורם המרכזי שאפשר לבעלי העניין לפעול לפני שההאקרים יכלו להעביר את יתרת 71 מיליון הדולר ב‑ETH אל מחוץ לרשת Arbitrum.

למרות ההקפאה המוצלחת, כ‑220 מיליון דולר עדיין חסרים. Kelp DAO אישרה כי המיקוד המרכזי שלה כעת הוא עבודה עם Aave ושותפים נוספים כדי לטפל ב”חוב האבוד” שנוצר מהניצול. הארגון מסר כי הוא יפעל גם בכל הערוצים הזמינים כדי לתמוך במחזיקי rsETH ולהשיב את ההצמדה של הפרוטוקול.