- Підложне повідомлення моста випустило 116 500 rsETH, які атакуючі використали як забезпечення для позичання WETH і wstETH на Aave.
- Aave заморозила впливові ринки, зменшила ризикові параметри та координувала дії з партнерами для обмеження експозиції та відновлення коштів.
- Зобов’язання щодо відновлення досягли близько 300 млн доларів США, що допомогло повністю забезпечити 116 131,72 rsETH до 26 травня 2026 року.
Aave опублікувала детальний пост-мортем щодо експлойту мосту rsETH від 18 квітня 2026 року, який вплинув на кілька ринків Aave V3. За даними Aave, інцидент розпочався о 17:35 UTC, коли міст LayerZero V2 Kelp’s rsETH прийняв підроблене міжланцюгове повідомлення, випустивши 116 500 rsETH на ethereum без відповідного знищення на Unichain. Пізніше атакувач внес ці активи до позицій Aave та позичив WETH і wstETH під заставу.
Витік у мості спричинив виставлення Aave
За даними Aave, експлойт виник через інфраструктуру стороннього мосту, а не безпосередньо через протокол позичання. Міст опирався на конфігурацію Decentralized Verifier Network типу «один з одного», де один верифікатор затверджував вхідні повідомлення.
Aave повідомила, що атака з отруєнням RPC спотворила подання верифікатора щодо активності на вихідному ланцюзі. Як наслідок, адаптер ethereum випустив 116 500 rsETH, які не мали забезпечення на вихідному ланцюзі.
Потім нападник розподілив активи між кількома адресами. Після цього 89 567 rsETH увійшли у вісім позицій Aave V3 на Ethereum Core та Arbitrum.
Ці позиції дозволили позичити 82 650 WETH і 821 wstETH. Коефіцієнти здоров’я, як повідомляється, залишалися в діапазоні від 1,01 до 1,03 під час активності.
Застосовано надзвичайні заходи
Коли ризик став очевидним, охоронець протоколу Aave та керівник ризиків активували аварійні заходи. Протокол заморозив резерви rsETH та wrsETH, знизив коефіцієнти кредит-до-вартості до нуля, а потім заморозив WETH у кількох розгортаннях.
Тим часом Kelp призупинив страждені rsETH, пов’язані з експлуатацією. Крім того, Рада безпеки Arbitrum заморозила більше ніж 30 765 ETH, пов’язаних із зловмисником, 21 квітня.
Поки тривало відокремлення, LlamaRisk опублікувала звіт про інцидент. Aave також призупинила резерви rsETH на Ethereum Core, Arbitrum, Base, Mantle та Linea.
Відновлено повне забезпечення rsETH
Паралельно з заходами щодо контролю Aave Labs координувала DeFi United — ініціативу з відновлення, яка включала Lido, EtherFi Foundation, Ethena, Mantle, Compound, Consensys, Джозефа Лубіна, LayerZero, KelpDAO та інших.
За даними Aave, зобов’язанства щодо відновлення перевищили 160 мільйонів доларів США до 25 квітня, а пізніше досягли приблизно 300 мільйонів доларів США.
Технічне відновлення включало ліквідацію позицій, пов’язаних з атакуючими, знищення відновленого rsETH та поповнення адаптера LayerZero через п’ять окремих траншей. До 26 травня 116 131,72 rsETH було знову депоновано, що відновило повне забезпечення.
Aave повідомила, що ринки WETH і rsETH зараз працюють нормально. Однак огляди, що стосуються лістингу активів, залежностей від мостів, рамок ризиків і стандартів безпеки, продовжуються.