Найбільш дорога атака DeFi 2026 року розпочалася з мосту restaked ether (rsETH) KelpDAO, а не з помилки в коді Aave. Це, як стверджує протокол позичання у офіційному постмортемі, опублікованому цього тижня, саме тому, чому галузі потрібно переглянути спосіб вимірювання ризиків.
Aave заявила, що розпочинає огляд усіх активів, перелічених у V3, і переписує свої стандарти лістингу після експлойту restaked ETH на $230 у квітні, який виявив новий клас ризиків DeFi.
Постмортем протоколу встановив, що атака була спричинена не вадою смартконтрактів Aave, а невдачею перевірки мосту LayerZero, де один перевіряючий схвалив підроблене міжланцюгове повідомлення, що призвело до випуску 116 500 непідтримуваних rsETH.
У майбутньому Aave каже, що оцінки забезпечення враховуватимуть мости, залежності від оракулів, кастодіани та операційну безпеку разом із фінансовими та смарт-контрактними ризиками, які вона традиційно перевіряла.
KelpDAO — це сервіс «рестейкінгу», який дозволяє користувачам використовувати свій ефір, вже заблокований у ethereum, для отримання нагород за стейкінг і повторно використовувати його як забезпечення для отримання додаткового доходу від інших протоколів. Токен rsETH представляє собою вимогу користувача на цей рестейканий ефір. Щоб переміщати rsETH між блокчейнами, KelpDAO використовує LayerZero — інфраструктурний інструмент, відомий як крос-чейн міст, який передає повідомлення між мережами, щоб токен, випущений на одному ланцюзі, з’являвся на іншому.
Мосты залежать від набору незалежних перевіряючих, які підтверджують, що кожне повідомлення є справжнім, перш ніж отримуюча ланцюжок випустить відповідні токени.
У атакі в квітні лише один із верифікаторів схвалив фальшиве повідомлення, що дозволило атакуючому створити 116 500 rsETH на отримувальному ланцюзі без реального ефіру, що його підтримує.
Тоді ці токени були внесено до Aave — протоколу позичання, де користувачі позичають кошти під заставу, яку вони розміщують, і використано для отримання позик, які Aave не зміг відновити, коли rsETH виявився безцінним. Власний код Aave працював саме так, як і було задумано. Застава, яку він прийняв, виявилася фальшивою, оскільки міст, що доставляв її, був скомпрометований.
Хоча LayerZero визнала на початку цього місяця, що "зробила помилку", дозволивши власну систему верифікації забезпечувати високовартісні активи в конфігурації «один на один», постмортем Aave йде далі, використовуючи цей інцидент для обґрунтування ширшого оновлення управління ризиками в DeFi.
Протокол стверджує, що традиційні огляди, зосереджені на волатильності, ліквідності та аудитах смартконтрактів, не змогли виявити ризики, створені мостами, мережами верифікації та іншою інфраструктурою, яка розташована поза кодом застосунку.
Крім аудиту смартконтрактів та аналізу фінансових ризиків, Aave заявила, що тепер буде оцінювати інфраструктуру мостів, залежності від оракулів, сторонні смартконтракти, умови зберігання, практики операційної безпеки та ліквідність на вторинному ринку перед схваленням або розширенням переліку коллатералу.
Протокол також розробляє нові автоматизовані заходи захисту, призначені для швидшої реакції при ознаках проблем з гарантійними активами. Серед пропозицій, викладених у післядіяльнісному аналізі, — система, яка автоматично знизить коефіцієнт кредит-до-вартості активу до нуля, як тільки будуть порушено встановлені межі ризику, вилучивши його здатність до позичання, перш ніж збитки поширяться на весь ринок.
З моменту експлуатації Aave повідомляє, що її менеджери ризиків вже виконали приблизно 295 змін параметрів на ринках V3, включаючи 168 зменшень лімітів надання та 66 зменшень лімітів позичання, спрямованих на обмеження експозиції до окремих активів.
Зі зростанням взаємопов’язаності DeFi-протоколів, аналіз Aave вказує, що галузі може знадобитися уважно перевірити не лише активи, які вона додає, але й інфраструктуру, від якої залежать ці активи