- Isinabong ng isang forged bridge message ang 116,500 rsETH, na ginamit ng mga manliligaw bilang collateral upang mag-borrow ng WETH at wstETH sa Aave.
- Ipinagpautang ng Aave ang mga apektadong merkado, dinagdagan ang mga parameter ng panganib, at nagkoordinasyon sa mga kasosyo upang mapigilan ang eksposur at mabawi ang mga pondo.
- Nakamit ang mga komitment sa pagpapalikod ng halos $300M, na tumutulong sa pagpapalikod ng buong pagtutugma ng 116,131.72 rsETH hanggang Mayo 26, 2026.
Ipinahayag ng Aave ang isang detailed post-mortem tungkol sa pag-atake sa rsETH bridge noong April 18, 2026 na nag-apekto sa ilang Aave V3 markets. Ayon sa Aave, nagsimula ang insidente sa 17:35 UTC nang tanggapin ng Kelp’s rsETH LayerZero V2 bridge ang isang forged cross-chain message at ipinalabas ang 116,500 rsETH sa Ethereum nang walang katumbas na burn sa Unichain. Pagkatapos ay isinumite ng attacker ang mga asset sa mga position ng Aave at kinuha ang WETH at wstETH bilang pautang batay sa collateral.
Ang Bridge Exploit ay Nag-trigger ng Aave Exposure
Ayon sa Aave, ang paglabag ay nagmula sa third-party bridge infrastructure at hindi sa sariling lending protocol. Ang bridge ay nakabatay sa isang-isa lamang na Decentralized Verifier Network configuration, kung saan isang verifier lamang ang nag-apruba ng mga pumasok na mensahe.
Sinabi ng Aave na ang isang RPC-poisoning attack ang nagmanipula sa pananaw ng verifier sa aktibidad ng source-chain. Bilang resulta, ang Ethereum adapter ay naglabas ng 116,500 rsETH na walang suporta sa originating chain.
Pagkatapos ay ipinamahagi ng attacker ang mga ari-arian sa maraming address. Pagkatapos, pumasok ang 89,567 rsETH sa walong position ng Aave V3 sa Ethereum Core at Arbitrum.
Ang mga position na iyon ay nag-enable ng pagpapautang ng 82,650 WETH at 821 wstETH. Nanatili ang health factors sa pagitan ng 1.01 at 1.03 habang nagaganap ang aktibidad.
Nagagawa ang mga pagsasagawa ng emergency
Habang naging malinaw ang eksposur, pinagana ng Protocol Guardian at Risk Steward ng Aave ang mga emergency protection. Ipinag-utos ng protokolo ang pagpapahinga ng mga reserve ng rsETH at wrsETH, binawasan ang loan-to-value ratios sa zero, at pagkatapos ay ipinag-utos ang pagpapahinga ng WETH sa ilang mga deployment.
Samantay, hininto ng Kelp ang mga rsETH na nakakaapekto sa paglabag. Dagdag pa, hinold ng Arbitrum Security Council ang higit sa 30,765 ETH na kaugnay sa attacker noong Abril 21.
habang patuloy ang pagkontrol, ipinahayag ni LlamaRisk ang isang ulat sa insidente. Sinara rin ni Aave ang mga reserve ng rsETH sa Ethereum Core, Arbitrum, Base, Mantle, at Linea.
Nabalik ang Buong Pagtutugma ng rsETH
Kasabay ng mga pagsisikap sa pagkontrol, sinama ng Aave Labs ang DeFi United, isang pagpapalit na proyekto na kasali ang Lido, EtherFi Foundation, Ethena, Mantle, Compound, Consensys, Joseph Lubin, LayerZero, KelpDAO, at iba pa.
Ayon sa Aave, lumampas sa $160 milyon ang mga komitment sa pagbabalik noong Abril 25 at tumungo sa halos $300 milyon.
Ang teknikal na pagbabalik ay kasama ang paglilikuid ng mga position na may kinalaman sa attacker, ang pag-burn ng narecover na rsETH, at ang pagpuno muli ng LayerZero adapter sa pamamagitan ng limang hiwalay na tranches. Hanggang Mayo 26, ang 116,131.72 rsETH ay nare-deposit na muli, na nagbalik sa buong backing.
Sinabi ng Aave na nagtatrabaho nang normal ang mga market ng WETH at rsETH. Gayunpaman, patuloy pa ang mga pagsusuri tungkol sa paglalista ng mga asset, mga pagkakabase sa mga tulay, mga framework ng panganib, at mga pamantayan sa seguridad.