KelpDAO rsETH एक्सप्लॉइट: अप्रैल 2026 में कैसे Aave की लिक्विडिटी क्राइसिस शुरू हुई

तकनीकी रूप से समस्या ब्रिज की उस सेटिंग से जुड़ी थी जिसमें सिर्फ एक verifier (1‑of‑1 DVN) मैसेज को सत्यापित कर रहा था। यदि वही verification path समझौता हो जाए तो फर्जी ट्रांसफर भी मंजूर हो सकता है।

क्योंकि हमलावर ने मूल चेन पर ETH लॉक नहीं किया था, इसलिए ये rsETH वास्तव में किसी वास्तविक ETH से backed नहीं थे—लेकिन दूसरे प्रोटोकॉल के लिए वे शुरुआत में वैध दिख रहे थे।

चोरी हुए rsETH से Aave की लिक्विडिटी कैसे निकाली गई

हमलावर ने टोकन तुरंत बेचने के बजाय DeFi लेंडिंग सिस्टम का उपयोग किया।

1. rsETH को collateral के रूप में जमा करना

हमलावर ने कई वॉलेट्स के माध्यम से Aave V3 में बड़ी मात्रा में rsETH जमा किए। अनुमान है कि लगभग 89,000 rsETH Aave में गिरवी रखे गए।

2. उसके खिलाफ असली एसेट उधार लेना

इन टोकनों की कीमत को collateral मानते हुए हमलावर ने WETH और अन्य ETH‑आधारित एसेट्स उधार ले लिए।

3. नकदी जैसी लिक्विडिटी निकालना

रिपोर्ट्स के अनुसार हमलावर ने $236 मिलियन से अधिक WETH और संबंधित एसेट्स उधार लिए।

जब बाद में rsETH की बैकिंग पर सवाल उठे, तो collateral की कीमत गिर गई और उधार लिए गए एसेट्स को कवर करना मुश्किल हो गया। इसी कारण Aave पर लगभग $177M से $200M के बीच बैड‑डेट बन गया।

Aave और DeFi बाजार पर तत्काल प्रभाव

यह घटना DeFi में तेज़ी से फैलने वाले लिक्विडिटी शॉक का उदाहरण बन गई।

मुख्य प्रभाव:

• WETH पूल की utilization लगभग 100% तक पहुंच गई।
• निवेशकों ने डर के कारण बड़ी मात्रा में फंड निकाल लिए।
• कई DeFi प्रोटोकॉल से अरबों डॉलर की निकासी हुई।

कुछ ही हफ्तों में Aave का TVL $26.6B से घटकर लगभग $14.8B रह गया—जो करीब 44% गिरावट थी।

कई विश्लेषकों ने इसे DeFi का "bank‑run moment" कहा, भले ही प्लेटफॉर्म तकनीकी रूप से सुरक्षित था।

संकट के बाद Aave ने क्या कदम उठाए

1. जोखिम वाले मार्केट तुरंत फ्रीज़ किए

हमले के कुछ घंटों के भीतर:

• rsETH और wrsETH मार्केट Aave V3 में फ्रीज़ कर दिए गए।
• Loan‑to‑Value (LTV) को प्रभावी रूप से शून्य कर दिया गया ताकि नए उधार न लिए जा सकें।

इसके बाद कई नेटवर्क पर WETH उधारी पर भी अस्थायी रोक लगाई गई।

2. हमलावर की पोज़िशन लिक्विडेट करना

जांच और रिकवरी योजना के तहत Aave ने हमलावर से जुड़े बचे हुए collateral को लिक्विडेट किया।

• इससे लगभग 13,000 ETH (~$30M) रिकवर किए गए।
• ये एसेट्स Recovery Guardian multisig में ट्रांसफर किए गए, जिसे DeFi United मैनेज करता है।

3. बाजार को धीरे‑धीरे सामान्य करना

स्थिति स्थिर होने के बाद Aave ने धीरे‑धीरे मार्केट्स दोबारा शुरू किए।

18 मई 2026 तक:

• WETH के Loan‑to‑Value रेशियो पुराने स्तर पर बहाल कर दिए गए।
• WETH उधारी फिर से कई नेटवर्क पर शुरू हो गई, जिनमें Ethereum Core, Ethereum Prime, Arbitrum, Base, Mantle और Linea शामिल हैं।

कितना पैसा वापस मिला और कितना अभी भी फंसा है

घटना के बाद रिकवरी प्रक्रिया जटिल रही है।

रिकवर फंड्स

• लिक्विडेशन से लगभग 13,000 ETH (~$30M) वापस मिले।

फ्रीज़ किए गए फंड्स

• Arbitrum Security Council ने लगभग 30,766 ETH (~$71M) को फ्रीज़ कर दिया।
• इन्हें एक intermediary वॉलेट में रखा गया है जिसे governance के जरिए नियंत्रित किया जा रहा है।

कानूनी प्रक्रियाओं के कारण इन फंड्स का पूरा उपयोग तुरंत संभव नहीं है।

इसके बाद भी रिपोर्टों के अनुसार rsETH की बैकिंग में लगभग 10% का गैप रह गया था।

इस घटना से DeFi को क्या सीख मिली

ब्रिज कॉन्फ़िगरेशन का जोखिम

समस्या LayerZero तकनीक में नहीं बल्कि ब्रिज की कॉन्फ़िगरेशन में थी। केवल एक verifier होने से सुरक्षा कमजोर हो गई।

collateral contagion

एक प्रोटोकॉल की समस्या दूसरे प्रोटोकॉल तक फैल सकती है यदि वही टोकन collateral के रूप में उपयोग हो रहा हो।

Aave का कोड सही काम कर रहा था, फिर भी उसे नुकसान हुआ क्योंकि collateral की बैकिंग टूट गई थी।

DeFi में बैंक‑रन जैसी स्थिति

लोगों का भरोसा अचानक टूटने पर बड़ी मात्रा में फंड निकाल लिए जाते हैं—यह घटना इसका बड़ा उदाहरण है।

जोखिम प्रबंधन में संभावित बदलाव

घटना के बाद DeFi में कई सुधारों की चर्चा तेज हुई:

• collateral listing के कड़े नियम
• supply caps
• बेहतर cross‑chain verification
• bridge‑आधारित collateral के लिए circuit breakers

निष्कर्ष

अप्रैल 2026 का KelpDAO एक्सप्लॉइट DeFi के लिए एक अहम सबक बन गया: सिर्फ स्मार्ट कॉन्ट्रैक्ट सुरक्षित होना ही पर्याप्त नहीं है; collateral की सुरक्षा भी उतनी ही महत्वपूर्ण है।

Aave के सिस्टम को सीधे हैक नहीं किया गया था। लेकिन लगभग $292 मिलियन के अनबैक्ड rsETH के बाजार में आने से लिक्विडिटी संकट पैदा हुआ, जिससे भारी बैड‑डेट बना और DeFi इतिहास की सबसे बड़ी TVL गिरावटों में से एक दर्ज हुई।

यह घटना अब DeFi में cross‑chain bridge जोखिम और collateral contagion का एक महत्वपूर्ण केस‑स्टडी बन चुकी है।