- Pesan jembatan palsu melepaskan 116.500 rsETH, yang digunakan penyerang sebagai jaminan untuk meminjam WETH dan wstETH di Aave.
- Aave membekukan pasar yang terdampak, mengurangi parameter risiko, dan berkoordinasi dengan mitra untuk menahan eksposur dan memulihkan dana.
- Komitmen pemulihan mencapai sekitar $300 juta, membantu memulihkan dukungan penuh terhadap 116.131,72 rsETH pada 26 Mei 2026.
Aave telah merilis laporan pasca-insiden terperinci mengenai eksploitasi jembatan rsETH pada 18 April 2026 yang memengaruhi beberapa pasar Aave V3. Menurut Aave, insiden ini dimulai pada pukul 17:35 UTC ketika jembatan LayerZero V2 Kelp rsETH menerima pesan lintas rantai yang dipalsukan, melepaskan 116.500 rsETH di Ethereum tanpa pembakaran yang sesuai di Unichain. Penyerang kemudian memasukkan aset tersebut ke dalam posisi Aave dan meminjam WETH serta wstETH dengan jaminan tersebut.
Eksploitasi Jembatan Memicu Paparan Aave
Menurut Aave, eksploitasi berasal dari infrastruktur jembatan pihak ketiga, bukan dari protokol pinjaman itu sendiri. Jembatan tersebut mengandalkan konfigurasi Jaringan Verifier Terdesentralisasi satu-satunya, di mana satu verifier menyetujui pesan masuk.
Aave mengatakan serangan RPC-poisoning memanipulasi pandangan verifier terhadap aktivitas rantai sumber. Akibatnya, adapter Ethereum merilis 116.500 rsETH yang tidak didukung di rantai asal.
Penyerang kemudian mendistribusikan aset ke beberapa alamat. Selanjutnya, 89.567 rsETH memasuki delapan posisi Aave V3 di Ethereum Core dan Arbitrum.
Posisi tersebut mengaktifkan peminjaman 82.650 WETH dan 821 wstETH. Faktor kesehatan dilaporkan tetap berada di antara 1,01 dan 1,03 selama aktivitas berlangsung.
Langkah Darurat Diterapkan
Saat eksposur menjadi jelas, Protocol Guardian dan Risk Steward Aave mengaktifkan perlindungan darurat. Protokol membekukan cadangan rsETH dan wrsETH, mengurangi rasio pinjaman-terhadap-nilai menjadi nol, dan kemudian membekukan WETH di beberapa deploy.
Sementara itu, Kelp menghentikan rsETH yang terpengaruh terkait eksploitasi. Selain itu, Arbitrum Security Council membekukan lebih dari 30.765 ETH yang terhubung dengan pelaku pada 21 April.
Saat penahanan berlanjut, LlamaRisk menerbitkan laporan insiden. Aave juga menghentikan cadangan rsETH di Ethereum Core, Arbitrum, Base, Mantle, dan Linea.
Pemulihan Diperbarui Dukungan rsETH Penuh
Sejalan dengan upaya penanggulangan, Aave Labs mengoordinasikan DeFi United, sebuah inisiatif pemulihan yang melibatkan Lido, EtherFi Foundation, Ethena, Mantle, Compound, Consensys, Joseph Lubin, LayerZero, KelpDAO, dan lainnya.
Menurut Aave, komitmen pemulihan melebihi $160 juta pada 25 April dan kemudian mencapai sekitar $300 juta.
Pemulihan teknis mencakup liquidasi posisi yang terkait dengan penyerang, membakar rsETH yang dipulihkan, dan mengisi kembali adapter LayerZero melalui lima tranches terpisah. Pada 26 Mei, 116.131,72 rsETH telah disetor ulang, memulihkan dukungan penuh.
Aave menyatakan bahwa pasar WETH dan rsETH kini beroperasi secara normal. Namun, tinjauan terkait pencatatan aset, ketergantungan jembatan, kerangka risiko, dan standar keamanan masih berlangsung.