- Поддельное сообщение моста выпустило 116 500 rsETH, которые атакующие использовали в качестве залога для взятия в долг WETH и wstETH на Aave.
- Aave заморозила затронутые рынки, снизила рисковые параметры и координировала действия с партнерами для ограничения экспозиции и возврата средств.
- Обязательства по восстановлению составили около 300 млн долларов США, что помогло полностью обеспечить 116 131,72 rsETH к 26 мая 2026 года.
Aave опубликовала подробный пост-мортем по эксплуатации моста rsETH от 18 апреля 2026 года, затронувшего несколько рынков Aave V3. Согласно Aave, инцидент начался в 17:35 UTC, когда мост Kelp’s rsETH LayerZero V2 принял поддельное межсетевое сообщение, выпустив 116 500 rsETH на Ethereum без соответствующего сжигания на Unichain. Позже атакующий внес активы в позиции Aave и занял WETH и wstETH под залог.
Уязвимость моста вызвала экспозицию Aave
Согласно Aave, эксплуатация произошла из-за инфраструктуры стороннего моста, а не самого кредитного протокола. Мост полагался на конфигурацию Decentralized Verifier Network «один из одного», где один верификатор утверждал входящие сообщения.
Aave сообщила, что атака с отравлением RPC искажила представление верификатора о деятельности исходной цепочки. В результате адаптер Ethereum выпустил 116 500 rsETH, не имеющих обеспечения на исходной цепочке.
Затем злоумышленник распределил активы по нескольким адресам. Впоследствии 89 567 rsETH поступили в восемь позиций Aave V3 на Ethereum Core и Arbitrum.
Эти позиции использовали заем 82 650 WETH и 821 wstETH. Коэффициенты здоровья, как сообщается, оставались в диапазоне от 1,01 до 1,03 во время активности.
Приняты экстренные меры
По мере того как экспозиция стала очевидной, защитник протокола Aave и ответственный за риск активировали аварийные меры защиты. Протокол заблокировал резервы rsETH и wrsETH, снизил коэффициенты кредит-к-стоимости до нуля и позже заблокировал WETH на нескольких платформах.
В то же время Kelp приостановил затронутые rsETH, связанные с эксплуатацией. Кроме того, Совет по безопасности Arbitrum заморозил более 30 765 ETH, связанных с злоумышленником, 21 апреля.
Пока меры по сдерживанию продолжались, LlamaRisk опубликовала отчет о инциденте. Aave также приостановила резервы rsETH на Ethereum Core, Arbitrum, Base, Mantle и Linea.
Восстановлено полное обеспечение rsETH
Вместе с мерами по сдерживанию Aave Labs координировала инициативу DeFi United, направленную на восстановление, в которую вошли Lido, EtherFi Foundation, Ethena, Mantle, Compound, Consensys, Джозеф Лубин, LayerZero, KelpDAO и другие.
Согласно Aave, обязательства по восстановлению превысили 160 миллионов долларов к 25 апреля и позже достигли примерно 300 миллионов долларов.
Техническое восстановление включало ликвидацию позиций, связанных с атакующей стороной, сжигание восстановленного rsETH и пополнение адаптера LayerZero через пять отдельных траншей. К 26 мая 116 131,72 rsETH были повторно депонированы, что восстановило полное обеспечение.
Aave сообщила, что рынки WETH и rsETH теперь работают нормально. Однако обзоры, касающиеся листинга активов, зависимостей мостов, рамок рисков и стандартов безопасности, продолжаются.