Arbitrum friert 30.766 ETH (rund 70 Mio. US-Dollar) nach KelpDAO-Exploit ein
Arbitrum teilte mit, der Security Council habe eine Notfallmaßnahme eingeleitet, um Vermögenswerte zu sichern, die mit dem jüngsten Exploit bei KelpDAO in Verbindung stehen. Auslöser war die Identifizierung von 30.766 ETH auf Arbitrum One in einer Adresse, die dem Angreifer zugeschrieben wird. Die Nutzeraktivität sei während des Vorgangs nicht beeinträchtigt worden.
Der Security Council erklärte, man habe zur Identität des Angreifers mit Strafverfolgungsbehörden koordiniert und die Maßnahme mit Fokus auf die Integrität des Netzwerks umgesetzt. Nach technischer Analyse und internen Abstimmungen sei ein Verfahren umgesetzt worden, mit dem sich die Gelder isolieren und übertragen ließen, ohne andere Zustände der Chain oder Nutzer zu beeinflussen. Die Assets wurden in eine Zwischen-Wallet verschoben, wodurch sie faktisch eingefroren und dem Zugriff der ursprünglichen Adresse entzogen wurden.
Laut offizieller Mitteilung wurde die Übertragung am 20. April um 23:26 Uhr ET abgeschlossen. Jede weitere Bewegung der Mittel erfordere Entscheidungen auf Governance-Ebene in Abstimmung mit relevanten Stakeholdern.
Kurz vor dem Eingriff hatte Onchain Labs berichtet, der Exploiter habe offenbar 30.766 ETH auf Arbitrum verbrannt, bewertet mit 70,94 Mio. US-Dollar.
Der Vorfall geht auf den KelpDAO-Exploit vom 18. April zurück. Dabei gingen rund 116.500 rsETH-Token verloren, mit einem Gegenwert von etwa 292 Mio. US-Dollar. Es handelt sich um einen der größten DeFi-Sicherheitsvorfälle dieses Jahres.
Ziel der Angreifer war KelpDAOs Cross-Chain-Bridge, die auf der Infrastruktur von LayerZero Labs basiert. LayerZero zufolge verschaffte sich der Angreifer Zugang zu Komponenten des "decentralized verified network", indem er RPC-Nodes kompromittierte und den Normalbetrieb störte. Dadurch konnte eine betrügerische Cross-Chain-Nachricht freigegeben und ausgeführt werden. LayerZero führte das Ausmaß des Schadens auf KelpDAOs Nutzung eines "1-of-1"-Verifikations-Setups zurück, dem eine unabhängige Validierung fehlte.
KelpDAO entgegnete: "The 1of1 DVN setup is the configuration documented in LayerZero's documentation and shipped as the default for any new OFT deployment. Kelp has operated on LayerZero infrastructure since January 2024 and has maintained an open communication channel with the LayerZero team throughout. The question of DVN configuration came up during Kelp's L2 expansion, and defaults were affirmatively confirmed as appropriate at that time."
Die Auswirkungen reichten über die Bridge hinaus, da ein großer Teil der entwendeten Assets in Lending-Protokolle wanderte. Auf Aave V3 hinterlegte der Angreifer beispielsweise rsETH als Sicherheit und lieh große Mengen an Wrapped ETH. Diese Positionen wiesen niedrige Health-Faktoren auf, was das Risiko von Bad Debt im Protokoll erhöhte.
