Хроника катастрофы: Взлом Kelp DAO и «Домино» в Aave
Сегодня, 19 апреля 2026 года, рынок децентрализованных финансов (DeFi) переживает крупнейшее потрясение года. Взлом протокола Kelp DAO, повлекший за собой потерю почти $300 млн, спровоцировал системный кризис в Aave, поставив под угрозу ликвидность крупнейшего лендингового протокола.
Ниже представлен подробный разбор ситуации, актуальный на текущий час.
1. Точка входа: Эксплойт моста LayerZero
События начали развиваться в ночь с 18 на 19 апреля. Злоумышленник обнаружил критическую уязвимость в логике кроссчейн-сообщений LayerZero EndpointV2, которые Kelp DAO использует для минтинга своего токена рестейкинга rsETH.
- Техническая суть: Атакующий обошел проверку метода lzReceive, сфабриковав сообщение о сжигании токенов на L2-сетях, которого на самом деле не было.
- Результат: Основной смарт-контракт (Adapter) на Ethereum Mainnet «поверил» ложному сигналу и выпустил на адрес хакера 116 500 rsETH (около $292 млн на момент атаки). Это составляет примерно 18% от всего предложения rsETH.
2. Атака на Aave: Использование «пустого» залога
Вместо прямой продажи украденных активов (что мгновенно обрушило бы цену), хакер действовал по стратегии «Bad Debt Attack»:
- Он внес 116 500 rsETH в качестве обеспечения на Aave V3 и Aave V4.
- Пользуясь тем, что оракулы еще не успели отреагировать на взлом Kelp DAO, он занял максимально возможный объем ликвидных активов - преимущественно WETH.
- Из одного только протокола Aave было выведено порядка $196 млн в ETH, что привело к мгновенному взлету коэффициента использования (utilization) пула до 100%.
Последствия для пользователей Aave: На текущий час обычные пользователи практически не могут вывести свои ETH из пула, так как вся доступная ликвидность выбрана хакером под залог обесцененных rsETH.
3. Кризис управления и уход партнеров
Ситуация усугубилась «вакуумом безопасности». Буквально за несколько недель до инцидента (1 апреля 2026 года) ключевые партнеры Aave по риск-менеджменту - Chaos Labs и BGD Labs - официально прекратили постоянное сотрудничество с DAO из-за разногласий по архитектуре V4.
- Aave Checkpoint: Новая AI-система мониторинга, внедренная в марте, не смогла заблокировать транзакции хакера, так как они проходили в рамках установленных риск-параметров. AI распознал «легитимный» приток ликвидности, не «понимая», что залог внутри Kelp DAO уже был пуст.
4. Текущий статус и меры спасения
На 16:52 19 апреля 2026 года приняты следующие меры:
- Заморозка рынков: Сообщество Aave проголосовало за экстренную заморозку рынков rsETH на всех версиях протокола. Новые депозиты и займы невозможны.
- Активация Umbrella: Aave Labs объявила о запуске системы Umbrella (модернизированный Safety Module). Средства из этого модуля будут использованы для покрытия образовавшейся «дыры» в $196 млн, чтобы вернуть ликвидность поставщикам ETH.
- Эффект Джастина Сана: Крупный кошелек, связываемый с Джастином Саном, успел вывести $126 млн в ETH прямо перед заморозкой, что усилило панику и падение токена AAVE на 19%.
Вердикт: Это не был взлом самого кода Aave. Это провал риск-менеджмента при работе с LRT-активами (Liquid Restaking Tokens). Инцидент Kelp DAO показал, что высокая доходность рестейкинга несет в себе скрытые риски «эффекта домино», где уязвимость в одном маленьком мосту может парализовать гиганта индустрии.
Официальный пост-мортем от Kelp DAO и LayerZero ожидается в течение ближайших 24 часов.