Aave підсилює правила забезпечення після витоку $230 млн rsETH через міст LayerZero

Aave переписує правила після найбільшого викрадення в DeFi у 2026 році, яке виявило прихований системний ризик: не помилковий код позичання, а скомпрометований крос-чейн міст. Що відбулося: - У квітні нападники використали KelpDAO’s rsETH — «перестейканий» токен ефіру, який представляє використані користувачами застейкані ETH, шляхом підробки крос-чейн повідомлення через міст LayerZero. - Один єдиний верифікатор у мережі LayerZero схвалив підроблене повідомлення, що дозволило нападнику випустити 116 500 непідтримуваних rsETH на отримуючому ланцюзі. - Ці підроблені токени rsETH були внесені як гарантія до Aave v3, що дозволило отримати близько $230 мільйонів позик, які Aave не змогла відновити, коли виявилося, що токени не мають вартості. - Важливо: смартконтракти Aave працювали так, як і задумувалося; провал стався саме у процесі верифікації мосту. LayerZero визнала, що «допустила помилку», запустивши високовартісну систему верифікації в конфігурації «один на один». Реакція Aave: розширення критеріїв ризику та швидші захисти - У детальному аналізі події Aave оголосила про повний перегляд усіх активів, перелічених у V3, та переписання своїх стандартів лістингу. Протокол стверджує, що традиційні оцінки — волатильність, ліквідність та аудит смартконтрактів — більше не достатні. - У майбутньому схвалення гарантій буде включати оцінку поза-ланцюгової та крос-протокольної інфраструктури: безпеку мостів та моделей верифікації, залежності від оракулів, умови зберігання, сторонні смартконтракти, операційну безпеку та ліквідність на вторинному ринку, разом із фінансовими та кодовими ризиками. - Aave також розробляє автоматизовані захисти для швидкої реакції при ознаках стресу активу. Одна з пропонованих заходів — автоматично знизити співвідношення позика/гарантія (LTV) до нуля, якщо будуть порушені передвизначені пороги ризику, ефективно прибравши можливість позичання до того, як збитки поширяться. Невідкладні кроки управління ризиками: - З моменту викрадення команда ризиків Aave вже впровадила близько 295 змін параметрів на ринках V3, включаючи 168 зменшень лімітів поставок та 66 зменшень лімітів позичання для обмеження експозиції до вразливих активів. Чому це важливо: - Цей інцидент підкреслює, наскільки взаємопов’язана інфраструктура DeFi — мости, мережі повідомлень та інші поза-ланцюгові верифікатори — може створювати атакуванні поверхні, які традиційні огляди, зосереджені на смартконтрактах, не виявляють. - Перебудова Aave свідчить про ширший зсув у галузі: протоколам доведеться оцінювати не лише контракти токенів, а й зовнішню інфраструктуру, на яку ці токени спираються. З ростом композиційності DeFi ці залежності стануть центральними для вимірювання системного ризику. Висновок: викрадення стало попередженням. Aave використовує його для просування перегляду гарантій та автоматизованих механізмів безпеки, які враховують крос-чейн та операційні загрози — модель, яку швидко доведеться повторити й іншим протоколам.