- رسالة جسر مزورة أطلقت 116,500 rsETH، والتي استخدمها المهاجمون كضمان لاستعارت WETH و wstETH على Aave.
- تجمّد Aave الأسواق المتأثرة، وقلّل من معايير المخاطر، وتنسيق مع الشركاء لاحتواء التعرض واسترداد الأموال.
- تم تحقيق التزامات الاسترداد بقيمة حوالي 300 مليون دولار، مما ساعد على استعادة التغطية الكاملة لـ 116,131.72 rsETH بحلول 26 مايو 2026.
أصدرت Aave تقريرًا مفصلًا بعد الحادث عن استغلال جسر rsETH في 18 أبريل 2026 الذي أثر على عدة أسواق من Aave V3. وفقًا لـ Aave، بدأ الحادث عند الساعة 17:35 بالتوقيت العالمي المنسق عندما قبل جسر Kelp rsETH LayerZero V2 رسالة عبر سلسلة مزورة، وأطلق 116,500 rsETH على Ethereum دون حرق مطابق على Unichain. لاحقًا، أدخل المهاجم الأصول إلى مراكز Aave واقتراض WETH وwstETH مقابل الضمان.
استغلال الجسر أثار تعرض Aave
وفقًا لـ Aave، نشأ الاستغلال من بنية تحتية للجسر من طرف ثالث وليس من بروتوكول الإقراض نفسه. اعتمد الجسر على تكوين شبكة مُحققين لامركزية من نوع واحد فقط، حيث وافق مُحقق واحد على الرسائل الواردة.
قالت Aave إن هجومًا بسموم RPC قد عرّض رؤية المُحقق لنشاط السلسلة المصدر. نتيجةً لذلك، أطلقت وحدة Ethereum 116,500 rsETH لم تكن مدعومة على السلسلة الأصلية.
ثم قام المهاجم بتوزيع الأصول على عناوين متعددة. بعد ذلك، دخلت 89,567 rsETH في ثمانية مراكز على Aave V3 على Ethereum Core وArbitrum.
تمكّنت تلك المراكز من الاقتراض بقيمة 82,650 WETH و821 wstETH. وظلت عوامل الصحة مسجلة بين 1.01 و1.03 أثناء النشاط.
تم اتخاذ إجراءات طارئة
مع وضوح التعرض، قام حارس بروتوكول Aave ومسؤول المخاطر بتفعيل الحمايات الطارئة. قام البروتوكول بتجميد احتياطيات rsETH وwrsETH، وخفض نسب القروض إلى القيمة إلى الصفر، ثم قام لاحقًا بتجميد WETH عبر عدة نشرات.
في الوقت نفسه، أوقفت Kelp rsETH المتأثرة المرتبطة بالاستغلال. بالإضافة إلى ذلك، قام مجلس أمان Arbitrum بتجميد أكثر من 30,765 ETH المرتبطة بالمهاجم في 21 أبريل.
مع استمرار التحكم، نشرت LlamaRisk تقريرًا عن الحادث. كما علقت Aave احتياطيات rsETH عبر Ethereum Core وArbitrum وBase وMantle وLinea.
استعادة التغطية الكاملة لـ rsETH
إلى جانب جهود السيطرة، قامَت Aave Labs بتنسيق DeFi United، وهي مبادرة استرداد تضم Lido و EtherFi Foundation و Ethena و Mantle و Compound و Consensys و Joseph Lubin و LayerZero و KelpDAO وآخرين.
وفقًا لـ Aave، تجاوزت التزامات الاسترداد 160 مليون دولار بحلول 25 أبريل، ثم وصلت إلى حوالي 300 مليون دولار.
شمل الانتعاش التقني تصفية المراكز المرتبطة بالمهاجم، وحرق rsETH المسترد، وإعادة ملء واجهة LayerZero من خلال خمس دفعات منفصلة. بحلول 26 مايو، تم إعادة إيداع 116,131.72 rsETH، مما أعاد التغطية الكاملة.
قالت Aave إن أسواق WETH و rsETH تعمل الآن بشكل طبيعي. ومع ذلك، لا تزال المراجعات المتعلقة بقائمة الأصول، واعتماد الجسور، وإطارات المخاطر، ومعايير الأمان جارية.