Certik-analytiker: Säkerhetsbristen i KelpDAO avslöjar en avgörande förändring inom kedjeöverskridande cyberbrottslighet

Huvudpunkter:

• Arbitrum Security Council och SEAL 911 fryste 30 766 ETH den 18 april för att mildra effekterna av Kelp DAO-kuppen.
• Certik-analytikern Wenzhao Dong varnar för att stölderna via bryggor nu skapar systemiska osäkra fordringar för plattformar som Aave.
• Kelp DAO strävar efter att återställa rsETH-kopplingen och återfå de återstående 220 miljoner dollar i saknade digitala tillgångar.

Säkerhet kontra suveränitet

Arbitrum Security Council (ASC) snabba ingripande för att frysa 30 766 ETH har återuppväckt en av de mest grundläggande debatterna inom blockchain: spänningen mellan oföränderlig decentralisering och pragmatisk styrning.

Även om återvinningen av 71 miljoner dollar i ETH är en klar seger för offren, har metoden delat gemenskapen i två distinkta läger. Å ena sidan hävdar puristerna att ASC:s förmåga att ensidigt frysa tillgångar är en ”hal väg” mot de centraliserade finanssystem som kryptovalutan var avsedd att ersätta. De hävdar att om ett råd kan censurera en hacker idag, kan det tvingas att censurera en politisk dissident eller ett lagligt företag imorgon. För denna grupp är ”human-in-the-loop”-ingripanden en systemisk sårbarhet som undergräver det centrala löftet om tillitsfrihet.

Å andra sidan ser pragmatikerna absolut decentralisering som ett eftersträvansvärt slutmål snarare än ett krav från dag ett. De hävdar att för att decentraliserad finans (DeFi) ska nå bred acceptans måste den ha ”kretsbrytare” för att mildra katastrofala förluster. Ur detta perspektiv är ASC en nödvändig säkerhetsåtgärd – en ”digital brandkår” – som tillhandahåller den ansvarsskyldighet som krävs för att skydda användare från sofistikerade statligt sponsrade aktörer som Lazarus Group.

Som rapporterats av Bitcoin.com News och andra medier agerade ASC på inkomster från brottsbekämpande myndigheter angående exploatörens identitet. Rådet uppgav att det vägde sitt åtagande för säkerheten och integriteten hos Arbitrum-gemenskapen samtidigt som man säkerställde att det inte skulle påverka Arbitrum-användare eller -applikationer.

Även om frysningen ger tillfällig lättnad varnade en expert för att stölden representerar en ny, farligare fas av DeFi-brottslighet där sårbarheter i bryggor systematiskt utnyttjas för att infektera utlåningsmarknaderna.

I en efteranalys av angriparens strategi påpekade Wenzhao Dong, blockchain-analytiker på Certik, att den Nordkorea-stödda Lazarus-gruppen visade prov på en sofistikerad förståelse för marknadslikviditet. Dong noterade att, till skillnad från den senaste Hyperbridge-incidenten – där angriparna präglade 1 miljard Polkadot men bara lyckades konvertera cirka 240 000 dollar innan priset kraschade – valde Kelp DAO-angriparna en mer effektiv ”utbetalningsväg”.

”Kelp DAO-exploiten visar ett tydligt riskmönster i modern DeFi”, sade Dong. ”En sårbarhet i en brygga förblir inte isolerad; den förvandlas till ett problem för utlåningsmarknaderna. Genom att använda falskt präglade rsETH som säkerhet på Aave för att låna WETH, förvandlade angriparen en bryggstöld till en osäker fordran hos Aave.”

Dong noterade att angriparna medvetet undvek spotmarknaderna, där massiva säljorder skulle ha utlöst slippage och tidig upptäckt. Istället, genom att använda Aave som mellanhand, överförde de risken till utlåningsprotokollet.

"DeFi-säkerhet är sammankopplad", tillade Dong. "Protokoll kan inte fokusera enbart på sina egna kontrakt; de måste beakta riskerna som varje beroende i deras system medför och implementera försvarsåtgärder därefter."

I en uppdatering som delades några timmar efter att ASC tillkännagav frysningen uttryckte Kelp DAO tacksamhet för den ”beslutsamma åtgärd” som rådet vidtagit. Man framhöll SEAL 911:s ”samordning och informationsstrukturering” som den avgörande faktorn som gjorde det möjligt för intressenterna att agera innan hackarna kunde flytta de återstående 71 miljoner dollar i ETH från Arbitrum-nätverket.

Trots den framgångsrika frysningen saknas fortfarande cirka 220 miljoner dollar. Kelp DAO bekräftade att deras huvudfokus nu är att samarbeta med Aave och andra partners för att hantera de ”osäkra fordringar” som skapats av exploateringen. Organisationen uppgav att de också kommer att utnyttja alla tillgängliga vägar för att stödja rsETH-innehavare och återställa protokollets koppling.