Aave столкнулась с оттоком ETH на $5,4 млрд после эксплойта rsETH у Kelp DAO

Эксплойт почти на $300 млн, связанный с кроссчейн-мостом rsETH от Kelp DAO, спровоцировал массовый вывод средств из Aave: пользователи вывели более $5,4 млрд в ETH на фоне опасений, что в протоколе может накапливаться безнадёжный долг. По данным расследований, злоумышленник внёс rsETH в Aave и использовал это для вывода ETH, оставив у протокола риск, который сложно быстро закрыть. Рынок отреагировал мгновенно. Утилизация ETH в Aave выросла до 100%: весь доступный ETH в пуле кредитования оказался выдан в займы, и ликвидного буфера для выводов не осталось. Крупные держатели ускорили отток. Джастин Сан одним траншем вывел из Aave 65 584 ETH (примерно $154 млн). По ончейн-данным Lookonchain, общий вывод на $5,4 млрд отражает тревогу среди опытных участников, понимающих последствия возможного bad debt для вкладчиков, которым в такой ситуации сложнее вывести средства по требованию. После обнаружения подозрительной кроссчейн-активности Kelp DAO приостановила контракты rsETH в основной сети и нескольких сетях Layer 2. Команда сообщила, что работает совместно с LayerZero, Unichain, аудиторами и специалистами по безопасности, чтобы установить первопричину инцидента. Аналитики D2 Finance указали на утечку приватного ключа в исходной сети, что подорвало доверие к узлам OApp и позволило атакующему манипулировать мостом. Следователи также рассматривают два возможных сценария отказа. Если для соответствующего nonce существует легитимная транзакция в исходной сети, компрометация могла произойти через ключ OApp на стороне источника. Если такой транзакции нет, проблема может находиться на стороне DVN и усугубляться конфигурацией Kelp с единственной точкой отказа: использованием LayerZero Labs в роли единственного верификатора. Контракты Kelp DAO остаются на паузе, расследование продолжается. При утилизации ETH на уровне 100% вкладчики Aave не смогут выводить ETH до тех пор, пока заёмщики не вернут средства или в пул не поступит новая ликвидность. Ключевой вопрос — безнадёжный долг: если позиции в rsETH, задействованные в эксплойте, не удастся восстановить, Aave придётся определить механизм распределения убытков внутри протокола — процесс, который исторически нередко вызывал споры и затягивался. Полная криминалистическая картина и карта кластера атакующего ещё формируются. Официальные обновления ожидаются через проверенные каналы Kelp DAO по мере развития расследования.