❗️ У DeFi-проекта KelpDAO украли около 290 млн долларов в токенах rsETH, инцидент также затронул лендинговые протоколы Aave, Compound и Euler
KelpDAO — DeFi-проект, построенный вокруг ликвидного рестейкинга в сети Ethereum
Пользователи вносят ETH, проект направляет их в рестейкинг, а взамен выдает токен rsETH, отражающий долю владельца
— Атакующие нацелились на верификационный слой (DVN), который используется для валидации кроссчейн-сообщений rsETH: они скомпрометировали ряд RPC-нод, через которые работает верификатор, внедрив фальсифицированные блокчейн-данные
Одновременно с этим хакеры провели DDoS-атаку на «здоровые» RPC-ноды, чтобы система была вынуждена полагаться на «отравленные»
В итоге фальшивое кроссчейн-сообщение прошло валидацию, система подтвердила несуществующие транзакции, и злоумышленники смогли вывести rsETH
🧑💻 Этичный хакер