Pesquisadores de segurança encontraram um bug no design do último lançamento do Aave v2 para o blockchain Polygon (MATIC). Parece que uma soma de nove dígitos em US Dollar Tether (USDT), Wrapped Bitcoin (WBTC), Wrapped Ethereum (WETH) e Wrapped Matic (WMATIC) não pode ser operada por seus proprietários.
U$120 milhões em ativos presos no Aave v2 no Polygon, veja como
De acordo com uma análise publicada por auditores de contratos inteligentes e pesquisadores on-chain da BlockSec, uma falha de design foi divulgada na versão baseada em Polygon do Aave v2, um protocolo DeFi blue-chip.
Os pesquisadores afirmaram que os problemas estavam associados ao ReserveInterestRateStrategy atualizado, que é um elemento da lógica do protocolo no Aave v2.
A versão mais recente dessa lógica é aplicável apenas ao Ethereum (ETH), mas não ao Polygon (MATIC).
O desenvolvedor Pseudonymous Ethereum (ETH) que atende por @mookim_eth no Twitter compartilhou uma análise detalhada das raízes e efeitos dos problemas destacados pelo BlockSec. Segundo ele, o pool de empréstimos do Aave v2 espera uma interface diferente e não pode interagir com a estratégia atualizada.
Como resultado, os usuários temporariamente não podem sacar ou trocar 5,5 milhões de USDT, 35.000 Wrapped Ethers (WETH), 1.500 Wrapped Bitcoins (WBTC) e 11 milhões Wrapped Matic (WMATIC), o que equivale aproximadamente a US$ 120 milhões.
Comunidade cria proposta de correção de emergência
Apesar de a equipe da Aave não ter confirmado o assunto por meio de seus canais oficiais de comunicação, a comunidade do protocolo já divulgou um comunicado sobre o assunto.
Esta declaração confirmou que os ativos estão indisponíveis devido a um conflito entre as versões baseadas em Ethereum e Polygon dos projetos Aave v2:
“A raiz do problema é que, por motivos legados, a versão v2 usada no Aave v2 Polygon (e Avalanche) é ligeiramente diferente do Aave v2 Ethereum, no que diz respeito à interface usada pelo LendingPool para chamar a estratégia de taxa de um ativo. As novas estratégias de taxa de juros aplicadas a esses ativos respeitam a interface de Aave v2 Ethereum, mas não v2 Polygon, então quando o LendingPool consulta a estratégia para a taxa atual, esta chamada reverte, assim como a ação “embrulhando” (por exemplo, depositar, emprestar, etc).”
Ao mesmo tempo, todos os ativos estão seguros no protocolo e não há riscos de perda de nenhum deles. Outros ativos no Aave v2, incluindo USD Coin (USDC), Dai (DAI) e Aave (AAVE) estão funcionando conforme o esperado.
Em 20 de maio de 2023, a votação da comunidade sobre a implementação de uma correção para a base de código Aave v2 começará por volta das 16h UTC, segundo a proposta da Aave Governance.