Aave под угрозой: потери до $230 млн после эксплойта Kelp DAO

Aave может столкнуться с убытками вплоть до $230 млн после эксплойта моста Kelp DAO, который, по сути, расшатал и без того хрупкое равновесие в DeFi. В опубликованном отчёте команда Aave обозначила два сценария: около $123 млн потерь, если урон распределят между всеми держателями rsETH, либо до $230 млн, если ущерб останется локализованным на сетях второго уровня. Итог, как это часто бывает в крипте, упирается в то, как именно Kelp DAO решит закрывать дыру.

Инцидент, произошедший на выходных, уже обозначили как один из наиболее чувствительных для Aave за последнее время. Согласно совместному отчёту Aave Labs и LlamaRisk, опубликованному на governance-форуме, ключевую роль сыграл rsETH, ликвидный рестейкинг-токен от KelpDAO. Для перемещения этого актива между сетями используется мост: токены блокируются в одной сети, а в другой выпускается их зеркальная версия. Стандартная схема, но, как показала практика, с уязвимым местом.

Атакующий сумел подделать сообщение о переводе, которое выглядело валидным для системы. Проверка прошла успешно, хотя реальные токены при этом никуда не перемещались. По сути, произошёл анбекнутый минт, было создано 116 500 rsETH на стороне Ethereum-моста без соответствующего обеспечения.

Дальше без лишнего шума на рынке. Вместо дампа активов злоумышленник пошёл более изощрённым путём: он внёс 89 567 rsETH в Aave в качестве залога и занял около $190 млн в ETH и связанных активах через Ethereum и Arbitrum. Такой ход оставил протокол с коллатералом, чья реальная стоимость теперь вызывает серьёзные вопросы.

Команда Aave среагировала оперативно, буквально в течение нескольких часов. Рынки rsETH были заморожены во всех развертываниях протокола, коэффициенты loan-to-value обнулили, а возможность брать новые займы под этот актив отключили. Классический emergency mode, чтобы не допустить дальнейшего разрастания проблемы.

Дальнейшее развитие ситуации напрямую зависит от действий Kelp DAO. Если убытки распределят между всеми держателями rsETH, токен, по оценкам, может потерять около 15% привязки к ETH, своего рода депег. В таком случае Aave получит примерно $124 млн плохого долга. Если же убытки изолируют на Layer 2, картина станет куда мрачнее: до $230 млн потерь, причём основная нагрузка ляжет на сети вроде Arbitrum и Mantle.

ТОП-3 трейдеры

1

Krydon

Проверен

4.90

4.90

Отзывы 346 Обзор

2

Скользкий График

Проверен

4.77

4.77

Отзывы 239 Обзор

3

Girav

Проверен

4.67

4.67

Отзывы 284 Обзор

Корень проблемы в механике валидации кроссчейн-сообщений через LayerZero. Сам протокол не был напрямую взломан, но его messaging-слой вскрыл слабые места в логике Kelp. Манипулируя этим процессом, атакующий смог представить активы как полностью обеспеченные, хотя фактически это было не так. Итог, извлечение ликвидности из системы без реального бэкинга.

Инцидент также поднял неприятный вопрос: часть позиций в Aave оказалась обеспечена активами, которые либо переоценены, либо вовсе не имеют полного покрытия. Это резко увеличивает риск недообеспеченных займов, сценарий, которого в DeFi стараются избегать любой ценой.

Реакция пользователей не заставила себя ждать. После новости об эксплойте из Aave было выведено около $6 млрд TVL, показатель того, насколько быстро рынок умеет нажимать на паническую кнопку, когда запахло риском. Массовое сокращение позиций лишь усилило давление на протокол.

Ситуация наглядно продемонстрировала одну из ключевых уязвимостей DeFi, зависимость от внешних систем. Даже если базовый протокол работает корректно, риски могут приходить извне, через коллатерал, мосты или сторонние решения. В данном случае удар пришёл именно с этой стороны, через инфраструктуру, на которую Aave опирался, но не контролировал напрямую.

Согласно отчёту, казна DAO Aave оценивается примерно в $181 млн. Сейчас ведутся обсуждения с участниками экосистемы о возможных путях покрытия убытков. При этом Kelp DAO пока не представила чёткого плана распределения потерь. А значит, финальный масштаб ущерба для Aave остаётся открытым вопросом и рынок, очевидно, будет внимательно следить за развитием событий.