18 квітня 2026 року о 17:35 (UTC) кросчейн-міст rsETH від Kelp DAO зазнав масштабної атаки. За 46 хвилин зловмисник створив приблизно 116 500 rsETH «з повітря» — на суму близько 293 мільйонів доларів США на той момент, що становило близько 18% від загальної циркулюючої пропозиції токена. Причиною стала не помилка у смартконтракті, а проігнорований параметр при розгортанні: Kelp DAO встановив конфігурацію DVN (децентралізованої мережі верифікаторів) як 1/1 — тобто один вузол-верифікатор міг схвалювати кросчейн-повідомлення. Зловмисник скомпрометував RPC-інфраструктуру, на яку спирався цей єдиний верифікатор, після чого підробив кросчейн-повідомлення з твердженням, що «активи rsETH були заблоковані на вихідному ланцюзі». За відсутності надійної перевірки з боку вихідного ланцюга контракт мосту Kelp виконав операцію з розблокування активів напряму.
Офіційна документація LayerZero рекомендує налаштування DVN як 2/2, що передбачає використання кількох верифікаторів для підвищення надійності. Проте Kelp DAO обрав найризикованіший варіант — «1 з 1». Така конфігурація створила єдину точку відмови, якою скористалися зловмисники. Традиційні інструменти безпеки, як-от Slither і Mythril, орієнтовані на пошук вразливостей у коді смартконтрактів, але майже безсилі перед ризиками, що виникають на рівні конфігурації. Це виявляє структурну проблему: безпека DeFi-протоколів залежить не лише від якості коду, а й від зваженості налаштувань під час розгортання.
Як фіктивне забезпечення проникло в кредитну систему Aave
Отримавши цю партію незабезпечених rsETH, зловмисник не став одразу продавати її на вторинному ринку — ліквідність rsETH була низькою, а великі продажі спричинили б значне прослизання ціни. Натомість ці «повітряні токени» були використані як забезпечення: їх внесли у провідні кредитні протоколи, зокрема Aave V3, і під них було позичено близько 236 мільйонів доларів США у реальних WETH та ETH. Це стало ключовим моментом атаки: зловмисник не зламав основні контракти Aave, а скористався композитністю DeFi, використавши вразливість Kelp DAO як трамплін для отримання реальних ончейн-активів з Aave, залишивши протоколу безвартісне «повітряне забезпечення».
Як ліквідний токен рестейкінгу, rsETH мав би бути забезпечений реальними резервами у кросчейн-мості. Після виведення цих резервів прив’язка вартості rsETH миттєво зруйнувалася. Однак оракул Aave продовжував оцінювати ці токени-забезпечення за докризовою ціною, що унеможливило ефективну ліквідацію позик. Команда Aave оперативно відреагувала, заморозивши ринки rsETH на Ethereum mainnet, а також на Arbitrum, Optimism, Base, Mantle та Linea, і встановила коефіцієнт LTV (Loan-to-Value) для rsETH на рівні нуля — технічно заблокувавши нові позики.
Чому використання пулу зросло до 100%?
Після атаки в Aave почалася масова ліквідність. Панічні виведення призвели до того, що використання пулу WETH досягло 100% — тобто вся доступна ліквідність була позичена, і вкладники більше не могли виводити кошти. Водночас річна ставка за позиками USDT зросла до 14,99%, а ставки за депозитами підскочили до 13,39%. Такі різкі коливання ставок відображають раптовий дисбаланс між пропозицією та попитом на ліквідність.
Це явище поєднує у собі кредитну та ліквідну кризу. Механізм процентних ставок може впоратися зі звичайними коливаннями ліквідності, але не здатен вирішити кризу довіри, що виникає через сумнівну «автентичність» забезпечення. Коли вкладники усвідомили, що забезпечення rsETH може бути незворотним, раціональним кроком стало негайне виведення коштів. Коли так роблять усі, ліквідність пулу висихає майже миттєво. Саме так вплив вразливості Kelp було багаторазово підсилено — основні контракти Aave залишилися неушкодженими, але кредитний крах забезпечення напряму спричинив стрес ліквідності на downstream-рівні.
Логіка випаровування $9 мільярдів TVL
Дані свідчать, що TVL (Total Value Locked) у Aave впав з приблизно 26,4 мільярда доларів США до близько 18 мільярдів за 48 годин — втрата склала близько 8,4 мільярда, або понад 31%. За цей же період загальний TVL DeFi на всіх ланцюгах знизився з приблизно 99,49 мільярда до 86,29 мільярда доларів США, тобто на 13,2 мільярда. Якщо врахувати виведення з суміжних ринків — ліквідного рестейкінгу та стратегій дохідності, загальні втрати DeFi-екосистеми наблизилися до 9 мільярдів доларів.
Основним рушієм падіння TVL стали великі виведення («whale-level withdrawals» — масові транзакції великих гравців): за ончейн-даними, Abraxas Capital вивів 392 мільйони доларів, MEXC — 431 мільйон, ще один whale — понад 400 мільйонів в одній транзакції. Такі масштабні виходи були очевидним хеджуванням ризиків: доки забезпечення rsETH залишалося під питанням, тримати будь-який ризик, пов’язаний з rsETH, було ірраціонально. Обсяги та швидкість виведень стали рекордними для DeFi, що підкреслило жорстку переоцінку ринком кредитного ризику кросчейн-активів.
$124 мільйони чи $230 мільйонів проблемної заборгованості? Дискусія навколо двох сценаріїв вирішення
Остаточний обсяг проблемної заборгованості залежить від того, який сценарій вирішення обере управління Aave. За даними звіту провайдера ризиків LlamaRisk, Aave окреслив два основні варіанти.
Сценарій 1 (соціалізація втрат на всіх ланцюгах): Втрати розподіляються пропорційно між усіма власниками rsETH. LlamaRisk оцінює, що це призведе до депегу rsETH приблизно на 15%, а Aave поглине близько 124 мільйонів доларів проблемної заборгованості.
Сценарій 2 (ізоляція L2): Втрати обмежуються rsETH на L2-ланцюгах, а rsETH на Ethereum mainnet зберігається повністю. Проте в такому разі обсяг проблемної заборгованості буде вищим — кросчейн-забезпечення буде дисконтовано на 73,54%, а борг Aave сягне близько 230,1 мільйона доларів, з яких на Mantle припаде 71,45% дефіциту, а на Arbitrum — 26,67%.
Різниця між сценаріями — майже 100 мільйонів доларів. По суті, це «політичне» питання розподілу ризиків: чи мають втрати нести всі користувачі на всіх ланцюгах, чи лише власники на окремих ланцюгах? Скарбниця Aave DAO наразі містить близько 181 мільйона доларів резервів; другий сценарій перевищує цю подушку. Додатково резерв безпеки Umbrella оцінюється у 80–100 мільйонів, а у 2025 році Aave DAO отримав 145 мільйонів доходу. Теоретично ці ресурси можуть покрити борг, але як це зробити без шкоди для основних користувачів — складне питання для управління.
Від точкової вразливості до системного ризику — як поширюється ризик ліквідації
Засновник DeFiLlama 0xngmi окреслив три можливі шляхи для KelpDAO, кожен з яких має свої недоліки.
Шлях 1 (соціалізовані втрати): KelpDAO застосовує «haircut» 18,5% для всіх власників rsETH. За наявності близько 666 000 rsETH у забезпеченні на Aave, якщо всі вони на межі ліквідації (LTV 95%), це призведе до близько 216 мільйонів доларів проблемної заборгованості.
Шлях 2 (ізоляція L2): KelpDAO захищає лише rsETH на mainnet, вважаючи rsETH на L2 безвартісним. Наразі на Aave L2 знаходиться близько 359 мільйонів доларів у забезпеченні rsETH; якщо всі вони максимально залеверджені, борг може досягти 341 мільйона, без покриття з боку Umbrella protocol — це може спричинити обвал ринків на Arbitrum, Mantle та Base.
Шлях 3 (відшкодування за snapshot): Лише власники rsETH до атаки отримують компенсацію за результатами snapshot. Однак, оскільки після атаки кошти переміщалися дуже швидко, а DeFi-протоколи є пулом ліквідності, технічно майже неможливо відрізнити окремі транші депозитів.
Ці три сценарії демонструють: ризик ліквідації поширюється не лінійно, а має чітку «стратифікацію ризиків» — експозиції суттєво різняться між mainnet та L2, а також між різними L2. Така структурна різниця робить остаточний розподіл проблемної заборгованості вкрай невизначеним.
Структурні висновки — межі автентичності забезпечення в DeFi
Найглибший вплив цього інциденту на DeFi полягає не у масштабі боргу, а у виявленні структурної прогалини в управлінні ризиками забезпечення. Основні контракти Aave не були скомпрометовані, але кредитний крах upstream-забезпечення напряму вплинув на downstream-кредитування. Це означає, що безпека DeFi-протоколу — це вже не лише «відсутність багів у коді», а й надійність усієї технічної та управлінської ланки, що стоїть за прийнятим забезпеченням.
Нашарування кросчейн-містів, рестейкінгу та кредитних протоколів означає: будь-яка слабка ланка у ланцюгу забезпечення може бути підсилена до системного шоку. Коли «вага» токена-забезпечення вже не відповідає реальним underlying-активам, ризикова модель кредитного протоколу переходить від «волатильності» до «автентичності» — сценарію, який рідко враховується у стандартних стрес-тестах. Aave встановив LTV для rsETH на нулі та заморозив резерви WETH на всіх уражених ринках, але це вже постфактум-міри, які лише стримують подальший негатив, а не компенсують вже понесені втрати.
У майбутньому DeFi-кредитні протоколи мають ретельно переглянути стандарти прийнятного забезпечення для кросчейн- та рестейкінг-токенів. Конфігурації з одним верифікатором, безпека валідації кросчейн-повідомлень та механізми перевірки автентичності забезпечення стануть ключовими темами для рамок управління ризиками.
Висновок
Помилка конфігурації DVN 1/1 у Kelp DAO стала безпосереднім тригером інциденту, але глибша проблема — це системна неспроможність DeFi перевіряти автентичність забезпечення. Зловмисник підробив кросчейн-повідомлення та створив близько 293 мільйонів доларів rsETH «з повітря», використав їх як забезпечення на Aave для позики реальних активів, що зрештою призвело до 124–230 мільйонів доларів проблемної заборгованості. TVL зник на 8,4 мільярда доларів за 48 годин, а загальні відтоки з DeFi перевищили 13 мільярдів. Використання пулів досягло 100%, ставки коливалися надзвичайно різко. Управління Aave стоїть перед складним вибором — соціалізувати втрати чи ізолювати L2, і кожен варіант має значні витрати й викликає суперечки. Ця подія знаменує зсув парадигми в управлінні ризиками DeFi: безпека протоколу тепер залежить не лише від якості коду, а й від надійності всієї технічної та управлінської ланки, що стоїть за забезпеченням. Конфігурація кросчейн-містів, надлишковість верифікаторів та перевірка автентичності забезпечення стануть наступними рубежами для контролю ризиків у DeFi.
Часті питання (FAQ)
Запитання: Чи був сам смартконтракт Aave скомпрометований?
Відповідь: Ні. Основна вразливість була у конфігурації кросчейн-мосту Kelp DAO. Основні контракти Aave не були порушені; це класичний випадок поширення ризику шляхом «upstream contamination» (зараження по ланцюгу).
Запитання: Хто зрештою покриє проблемну заборгованість Aave?
Відповідь: Це залежить від остаточного рішення управління Aave. Основні варіанти: соціалізація втрат серед усіх власників rsETH (близько 124 мільйонів доларів проблемної заборгованості) або ізоляція L2 (близько 230 мільйонів доларів).
Запитання: Яка динаміка ціни токена AAVE?
Відповідь: Станом на 22 квітня 2026 року реальна ціна AAVE на Gate становить близько 91,16 долара США. До інциденту ціна AAVE була близько 115 доларів, тобто падіння перевищило 20%.
Запитання: Що таке конфігурація DVN і чому 1/1 є ризикованою?
Відповідь: DVN (децентралізована мережа верифікаторів) — це механізм валідації повідомлень у кросчейн-протоколі LayerZero. Конфігурація 1/1 означає, що один верифікатор може схвалювати будь-яке кросчейн-повідомлення; якщо цей вузол скомпрометовано, зловмисники можуть підробити будь-яке повідомлення.
Запитання: Чи є underlying-активи rsETH наразі у безпеці?
Відповідь: Kelp ще не опублікував остаточний звіт про резерви та невиконані зобов’язання. Забезпечення rsETH на всіх ланцюгах залишається під питанням — це основна причина, чому Aave не може ініціювати ліквідації.
Запитання: Які довгострокові наслідки цієї події для DeFi?
Відповідь: Інцидент виявив системну відсутність перевірки автентичності кросчейн-забезпечення. У майбутньому кредитні протоколи посилять стандарти для кросчейн- і рестейкінг-токенів, а конфігурації з одним верифікатором, ймовірно, поступово зникнуть.
