Aave, 230 milyon dolarlık rsETH sızıntısının ardından listeleme kurallarını yeniden yapılandırıyor

Başlık: Aave, $230M rsETH istismarı sonrası listeleme kurallarını yeniden yazıyor Aave, Nisan ayındaki $230 milyonluk rsETH istismarı sonrası — 2026’nın en büyük DeFi saldırısı — tüm V3 varlıklarını kapsayan kapsamlı bir inceleme başlattı ve bir tokenin kendi kiralama protokolünün kodundan ziyade çapraz zincir altyapısının en zayıf halka olabileceğini gösteren yeni listeleme standartlarını revize etti. Ne oldu? - İstismar, KelpDAO’nun rsETH’inden kaynaklandı — bu, kullanıcıların kilitlediği ve ek getiri elde etmek için teminat olarak yeniden kullandığı ETH’ye dayalı bir “restaked” ether tokenidir. - rsETH’i zincirler arasında taşımak için KelpDAO, birden fazla doğrulayıcıyı kullanan bir çapraz zincir mesajlaşma/bridge sistemi olan LayerZero’ya dayandı. Bu olayda, tek bir doğrulayıcı sahte bir mesajı onayladı. - Bu onay, saldırganın temelinde hiçbir ETH olmayan 116.500 rsETH üretmesine izin verdi. Saldırgan, bu tokenleri Aave’ye yatırdı ve protokolün rsETH değersiz olduğu ortaya çıktığında geri alamadığı krediler çekti. - Aave’in olay sonrası analizi, Aave’in akıllı sözleşmelerinin amaçlandığı gibi çalıştığını vurguladı; kök neden bir bridge doğrulama hatasıydı. LayerZero, yüksek değerli varlıklar için tek bir doğrulama yapılandırmasına dayanmakla “hata yaptı”ğini kabul etti. Aave’in tepkisi ve yeni kuralları - Aave, varlıkların listelenmesi için klasik kontrollerin (volatilite, likidite, akıllı sözleşme denetimleri) ötesine geçerek tokenlerin bağımlı olduğu dış altyapıyı açıkça değerlendirmeyi planlıyor. - Yeni değerlendirme faktörleri arasında bridge güvenliği ve doğrulama modelleri, oracle bağımlılıkları, üçüncü taraf sözleşmeleri ve muhafızlar, operasyonel güvenlik ve ikincil piyasa likiditesi yer alacak. - Aave ayrıca bir varlıkta sorun belirtisi gösterdiğinde daha hızlı tepki verebilmek için otomatik savunmalar geliştiriyor. Önerilen önlemlerden biri, önceden tanımlanmış risk eşiği aşıldığında bir varlığın kredi/değer oranını sıfıra düşürmek ve kayıpların yayılmasından önce kredi alma gücünü kesmek. - Operasyonel olarak, Aave’in risk ekibi istismardan bu yana V3 pazarlarında yaklaşık 295 parametre değişikliği yaptı — bunların 168’i teslimat limiti azaltması ve 66’sı ödünç alma limiti kesintisiydi — böylece bireysel varlıklara maruziyeti sınırladı. Neden önemli? - Bu olay, DeFi için daha geniş bir ders vurguluyor: Protokoller daha fazla bağlantılı hale geldikçe, dış ve çapraz zincir altyapısı (bridge’ler, relayer’ler, doğrulama ağları) akıllı sözleşmeler ve piyasa riskiyle birlikte ilk sınıf risk vektörleri olarak ele alınmalıdır. - Aave’in altyapıya duyarlı listeleme ve daha hızlı otomatik savunmalar yönünde kayması, üçüncü taraf sistemlere bağımlı teminatları nasıl değerlendirdiğini ve yönettiğini belirleyen yeni bir endüstri standardı olabilir. Sonuç: rsETH istismarı Aave’in kodunu değil, bir bridge’i kırdı. Aave’in olay sonrası analizi, çözümün sadece düzeltmelerden ibaret olmadığını, DeFi’nin tüm katmanlar boyunca riski nasıl ölçeceğini ve nasıl tepki vereceğini temelden yeniden düşünmesini gerektirdiğini savunuyor.