Aave пересматривает стандарты листинга после того, как rsETH стоимостью 230 миллионов долларов использует открытые риски моста

Самая дорогая DeFi-атака 2026 года началась с перезагруженного эфирного моста KelpDAO (rsETH), а не с ошибки в коде Aave. Именно поэтому, как утверждается в протоколе кредитования в официальном анализе, опубликованном на этой неделе, отрасли необходимо переосмыслить способы измерения риска.

Aave заявила, что начинает проверку каждого актива, включенного в V3, и переписывает свои стандарты листинга после того, как апрельский эксплойт ETH с повторной ставкой в ​​230 долларов выявил новый класс риска DeFi.

Вскрытие протокола выявило, что атака связана не с ошибкой в ​​смарт-контрактах Aave, а с ошибкой проверки моста LayerZero, когда единственный верификатор одобрил поддельное межсетевое сообщение, в результате которого было выпущено 116 500 необеспеченных rsETH.

В дальнейшем, по словам Ааве, при оценке обеспечения будут учитываться мосты, зависимости от оракулов, хранители и операционная безопасность, а также финансовые риски и риски смарт-контрактов, которые они традиционно проверяют.

KelpDAO — это сервис «рестейкинга», который позволяет пользователям брать свой эфир, уже заблокированный в Ethereum, для получения вознаграждений за стейкинг и повторно использовать его в качестве залога для получения дополнительной прибыли от других протоколов. Токен rsETH представляет собой заявку пользователя на этот повторный эфир. Для перемещения rsETH между блокчейнами KelpDAO использует LayerZero, часть инфраструктуры, называемую межцепочным мостом, который передает сообщения между сетями, поэтому токен, выпущенный в одной цепочке, может отображаться в другой.

Мосты полагаются на набор независимых проверяющих, которые подтверждают, что каждое сообщение является реальным, прежде чем принимающая цепочка выпустит эквивалентные токены.

Во время апрельской атаки только один из этих верификаторов одобрил поддельное сообщение, которое позволило злоумышленнику создать 116 500 rsETH в принимающей цепочке без фактической поддержки эфира.

Затем эти токены были депонированы в Aave, протокол кредитования, в котором пользователи берут кредиты под залог, который они размещают, и использовались для получения кредитов, которые Aave не мог вернуть, как только rsETH оказался бесполезным. Собственный код Aave работал именно так, как задумано. Принятый залог оказался фальшивым, поскольку мост, по которому он был доставлен, был скомпрометирован.

Ранее в этом месяце LayerZero признала, что «допустила ошибку», разрешив своей собственной системе проверки защищать ценные активы в конфигурации «один-в-одном», вскрытие Aave идет дальше, используя этот инцидент для оправдания более широкого пересмотра управления рисками DeFi.

В протоколе утверждается, что традиционные проверки, сосредоточенные на аудите волатильности, ликвидности и смарт-контрактов, не смогли уловить риски, создаваемые мостами, сетями проверки и другой инфраструктурой, которая находится за пределами кода приложения.

Помимо аудита смарт-контрактов и анализа финансовых рисков, Aave заявила, что теперь будет оценивать мостовую инфраструктуру, зависимости оракулов, сторонние контракты, механизмы хранения, методы операционной безопасности и ликвидность на вторичном рынке, прежде чем утверждать или расширять списки залогового обеспечения.

Протокол также создает новую автоматизированную защиту, предназначенную для более быстрого реагирования, когда залоговые активы проявляют признаки бедствия. Среди предложений, изложенных в анализе, есть система, которая автоматически снизит соотношение кредита к стоимости актива до нуля, как только будут нарушены заранее определенные пороги риска, лишая его кредитной способности до того, как убытки смогут распространиться по более широкому рынку.

По словам Aave, с момента взлома ее менеджеры по рискам уже выполнили около 295 изменений параметров на рынках V3, включая 168 сокращений ограничения предложения и 66 сокращений ограничения заимствований, направленных на ограничение воздействия на отдельные активы.

Поскольку протоколы DeFi становятся все более взаимосвязанными, вскрытие Aave предполагает, что отрасли, возможно, придется тщательно изучить не только активы, которые она перечисляет, но и инфраструктуру, от которой зависят эти активы.