Самая дорогостоящая атака на DeFi в 2026 году началась с моста restaked ether (rsETH) KelpDAO, а не с уязвимости в коде Aave. Именно это, по мнению протокола кредитования, указано в официальном постмортеме, опубликованном на этой неделе, является причиной, по которой отрасли необходимо пересмотреть подход к оценке рисков.
Aave заявила, что запускает обзор всех активов, перечисленных на V3, и переписывает свои стандарты листинга после эксплуатации в апреле, в результате которой было украдено 230 млн стейкинг-ETH, что выявило новый класс рисков в DeFi.
Постмортем протокола установил, что атака была вызвана не уязвимостью в смарт-контрактах Aave, а сбоем в проверке моста LayerZero, при котором один верификатор одобрил поддельное межцепочечное сообщение, которое высвободило 116 500 непокрытых rsETH.
В будущем Aave заявляет, что оценка обеспечения будет учитывать мосты, зависимости от оракулов, кастодианов и операционную безопасность наряду с финансовыми и смарт-контрактными рисками, которые она традиционно проверяла.
KelpDAO — это сервис «рестейкинга», который позволяет пользователям использовать свой эфир, уже заблокированный в ethereum, для получения наград за стейкинг и повторно использовать его в качестве залога для получения дополнительной доходности от других протоколов. Токен rsETH представляет собой претензию пользователя на этот рестейкнутый эфир. Для перемещения rsETH между блокчейнами KelpDAO использует LayerZero — инфраструктурный компонент, называемый кросс-чейн мостом, который передает сообщения между сетями, позволяя токену, выпущенному на одной цепи, появляться на другой.
Мосты зависят от набора независимых верификаторов, которые подтверждают подлинность каждого сообщения до того, как принимающая цепочка выпустит эквивалентные токены.
В атаке в апреле только один из верификаторов одобрил поддельное сообщение, что позволило злоумышленнику создать 116 500 rsETH на принимающей цепочке без реальной поддержки эфиром.
Эти токены были затем депонированы в Aave — протоколе кредитования, где пользователи берут в долг под залог, который они предоставляют, и использованы для получения займов, которые Aave не смог вернуть после того, как оказалось, что rsETH не имеет ценности. Код Aave работал точно так, как и был задуман. Залог, который он принял, оказался поддельным, потому что мост, доставивший его, был скомпрометирован.
Хотя LayerZero признала в начале этого месяца, что "сделала ошибку", позволив своей собственной системе верификации обеспечивать высокоценные активы в конфигурации «один на один», постмортем Aave идет дальше, используя этот инцидент для обоснования более широкой переработки управления рисками в DeFi.
Протокол утверждает, что традиционные обзоры, сосредоточенные на волатильности, ликвидности и аудите смарт-контрактов, не смогли учесть риски, создаваемые мостами, сетями верификации и другой инфраструктурой, находящейся за пределами кода приложения.
Помимо аудита смарт-контрактов и анализа финансовых рисков, Aave заявила, что теперь будет оценивать инфраструктуру мостов, зависимости от оракулов, сторонние смарт-контракты, условия хранения, практики операционной безопасности и ликвидность вторичного рынка перед утверждением или расширением списка обеспечения.
Протокол также разрабатывает новые автоматизированные системы защиты, предназначенные для более быстрой реакции при появлении признаков трудностей с обеспечением. Среди предложений, описанных в постмортеме, — система, которая автоматически снизит коэффициент кредит-к-стоимости актива до нуля сразу после превышения заданных порогов риска, лишив его возможности брать займы до того, как потери могут распространиться по всему рынку.
С момента взлома Aave сообщает, что её менеджеры по риску уже выполнили примерно 295 изменений параметров на рынках V3, включая 168 снижений лимитов по поставкам и 66 снижений лимитов по займам, направленных на ограничение экспозиции по отдельным активам.
По мере того как децентрализованные финансовые протоколы становятся все более взаимосвязанными, постмортем Aave указывает, что отрасли может потребоваться тщательно анализировать не только активы, которые она добавляет, но и инфраструктуру, от которой зависят эти активы.