Aave mengatakan operasional kembali normal setelah $300M Backstop menggantikan aset yang terkuras

Protokol keuangan terdesentralisasi Aave baru-baru ini mengungkapkan bahwa pihaknya telah sepenuhnya memulihkan likuiditas ke kumpulan (lending pools) pinjaman setelah sebuah eksploit lintas-chain senilai 300 juta dolar AS.

Anatomi Eksploit

Pionir keuangan terdesentralisasi (DeFi) Aave berhasil memulihkan likuiditas penuh ke lending pools miliknya, mengakhiri upaya stabilisasi agresif selama beberapa pekan setelah sebuah eksploit lintas-chain senilai 300 juta dolar AS yang mengancam cadangan kas protokol tersebut, demikian diumumkan pengembang pada 1 Juni.

Aave mengatakan dalam laporan post-mortem bahwa dengan menggerakkan dana penyelamatan industri senilai 300 juta dolar AS dan mengamankan surat perintah pengadilan federal darurat, pihaknya mampu mengganti aset yang terkuras, melindungi penyetor dari kerugian, serta memulihkan operasi pinjam-meminjam normal di seluruh protokol.

Rilis post-mortem tersebut muncul lebih dari sebulan setelah seorang penyerang mengeksploitasi jembatan pihak ketiga yang dioperasikan oleh Kelp dan Layerzero. Dengan memalsukan pesan lintas-chain, peretas mencetak 116.500 token palsu rsETH dan menyetorkannya ke platform V3 Aave sebagai jaminan (collateral).

Penyerang langsung menggunakan rsETH palsu sebagai jaminan untuk mengalirkan aset yang sangat likuid, dengan meminjam 82.650 wrapped ethereum (WETH) dan 821 wrapped staked ethereum (wstETH). Penarikan besar-besaran yang mendadak itu secara struktural melemahkan kumpulan likuiditas inti Aave, memaksa pengelola risiko membekukan pasar yang terdampak untuk mencegah terjadinya aksi lari berantai (cascading run) terhadap modal platform.

Untuk menutup celah, Aave Labs membantu menggerakkan koalisi darurat pemain besar di industri, termasuk Lido, Ether.fi, Ethena, dan Compound. Bersama-sama, kelompok ini menyusun dana pemulihan senilai 300 juta dolar AS. Suntikan modal ini secara efektif menjadi penyangga balik bagi aset rsETH yang terdampak, memastikan bahwa setiap dolar setoran pengguna tetap sepenuhnya dijamin oleh cadangan yang autentik.

Membekukan modal yang dilepas

Namun, jalan untuk memulihkan likuiditas menghadapi hambatan hukum pada 1 Mei, ketika kreditur dalam kasus federal yang tidak terkait berhasil menyadap proses pemulihan. Para kreditur memperoleh pemberitahuan penahanan yang membekukan sekitar 71 juta dolar AS dalam ethereum yang telah ditarik kembali (clawed back) dari penyerang dan dijadwalkan untuk mengisi ulang kumpulan (pools) Aave.

Aave merespons dengan mengajukan mosi darurat di pengadilan federal AS pada 4 Mei, dan empat hari kemudian, seorang hakim mengabulkan modifikasi penting atas pembekuan tersebut, yang mengizinkan pemindahan segera sebesar 71 juta dolar AS kembali ke penguasaan langsung Aave. Terobosan hukum ini memungkinkan pengembang segera mengalihkan dana tersebut kembali ke lending pools aktif protokol, memulihkan kedalaman likuiditas yang dibutuhkan untuk operasi pasar yang aman.

Dengan cadangan modal sepenuhnya dipulihkan dan parameter pasar sebelum eksploit kembali seperti semula, Aave sedang melakukan perombakan arsitektur risikonya untuk mengisolasi likuiditas dari kegagalan sistemik pihak ketiga di masa mendatang.

Untuk mencegah penyerang di masa depan mengubah token yang dieksploitasi menjadi aset protokol yang likuid, pengembang Aave menjalankan 295 pembaruan parameter individual, memangkas secara besar batas pinjaman dan pasokan di 168 kumpulan aset yang berbeda.

Selain itu, protokol ini sedang menerapkan pemutus sirkuit otomatis LTV0 (loan-to-value zero). Ke depan, jika infrastruktur lintas-chain yang mendasari salah satu aset mengalami pelanggaran keamanan, sistem akan seketika menghapus nilai jaminan aset tersebut. Ini memastikan token yang telah dikompromikan tidak lagi dapat digunakan untuk meminjam atau menguras likuiditas autentik dari pasar Aave.