KelpDAO rsETH एक्सप्लॉइट: अप्रैल 2026 में कैसे Aave की लिक्विडिटी क्राइसिस शुरू हुई
18 अप्रैल 2026 को हमलावरों ने KelpDAO के LayerZero ब्रिज में forged cross‑chain मैसेज भेजकर लगभग 116,500 अनबैक्ड rsETH (करीब $292M) बना लिए और उन्हें Aave V3 पर गिरवी रखकर असली WETH उधार लिया। [3][6] Aave का स्मार्ट कॉन्ट्रैक्ट हैक नहीं हुआ था; समस्या उस collateral से आई जिसकी बैकिंग ब्रिज एक्सप्लॉइट के कारण टूट गई।...
What happened in the April 2026 KelpDAO exploit that led Aave to incur major bad debt and lose 44% of its TVL, how did the attackers use stoThe April 2026 KelpDAO exploit showed how vulnerabilities in cross‑chain bridges can cascade into major DeFi lending protocols.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What happened in the April 2026 KelpDAO exploit that led Aave to incur major bad debt and lose 44% of its TVL, how did the attackers use sto. Article summary: The April 2026 incident was not an Aave smart-contract hack; it was a KelpDAO rsETH bridge failure that let an attacker create/release unbacked rsETH, then use it as collateral on Aave V3 to borrow real WETH/ETH, leaving. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Aave’s TVL Tanks $6.6 Billion as Kelp DAO Hack Sparks Bad Debt and Structural Fears. After the Kelp DAO exploit, the attacker used $292 million in stolen rsETH as collateral on A" source context "Aave’s TVL Tanks $6.6 Billion as Kelp DAO Hack Sparks Bad Debt and Structural Fears - Unchained" Reference image 2:
openai.com
घटना का सार
अप्रैल 2026 में decentralized finance (DeFi) इकोसिस्टम को साल की सबसे बड़ी सुरक्षा घटनाओं में से एक का सामना करना पड़ा। KelpDAO के rsETH क्रॉस‑चेन ब्रिज में मौजूद एक कमजोरी का फायदा उठाकर हमलावरों ने सैकड़ों मिलियन डॉलर के अनबैक्ड rsETH टोकन बना लिए।
इन टोकनों को बाद में DeFi लेंडिंग प्लेटफॉर्म्स—खासकर Aave V3—पर collateral के रूप में जमा कर दिया गया और उनके बदले wrapped Ether (WETH) जैसे असली एसेट उधार ले लिए गए।
इस घटना का असर पूरे DeFi बाजार में दिखा। Aave का Total Value Locked (TVL) अगले महीने में लगभग $26.6 बिलियन से गिरकर $14.8 बिलियन रह गया—यानी करीब 44% की गिरावट।
महत्वपूर्ण बात यह है कि Aave खुद हैक नहीं हुआ था। असली समस्या उस collateral से शुरू हुई जिसकी बैकिंग ही खत्म हो गई थी।
KelpDAO एक्सप्लॉइट में वास्तव में क्या हुआ
यह हमला 18 अप्रैल 2026 को हुआ जब हमलावर ने KelpDAO के LayerZero‑powered cross‑chain bridge में एक कॉन्फ़िगरेशन कमजोरी का फायदा उठाया।
ब्रिज ने एक forged cross‑chain verification message को वैध मान लिया।
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
"KelpDAO rsETH एक्सप्लॉइट: अप्रैल 2026 में कैसे Aave की लिक्विडिटी क्राइसिस शुरू हुई" का संक्षिप्त उत्तर क्या है?
18 अप्रैल 2026 को हमलावरों ने KelpDAO के LayerZero ब्रिज में forged cross‑chain मैसेज भेजकर लगभग 116,500 अनबैक्ड rsETH (करीब $292M) बना लिए और उन्हें Aave V3 पर गिरवी रखकर असली WETH उधार लिया। [3][6]
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
18 अप्रैल 2026 को हमलावरों ने KelpDAO के LayerZero ब्रिज में forged cross‑chain मैसेज भेजकर लगभग 116,500 अनबैक्ड rsETH (करीब $292M) बना लिए और उन्हें Aave V3 पर गिरवी रखकर असली WETH उधार लिया। [3][6] Aave का स्मार्ट कॉन्ट्रैक्ट हैक नहीं हुआ था; समस्या उस collateral से आई जिसकी बैकिंग ब्रिज एक्सप्लॉइट के कारण टूट गई। [7]
मुझे अभ्यास में आगे क्या करना चाहिए?
घटना के बाद Aave का TVL लगभग $26.6B से गिरकर करीब $14.8B रह गया (लगभग 44% गिरावट)। [40][37]
इसके कारण हमलावर को लगभग 116,500 rsETH रिलीज़ या मिंट करने का मौका मिला।
उस समय इसकी कीमत लगभग $292–$294 मिलियन थी।
यह rsETH की कुल सप्लाई का लगभग 18% था।
तकनीकी रूप से समस्या ब्रिज की उस सेटिंग से जुड़ी थी जिसमें सिर्फ एक verifier (1‑of‑1 DVN) मैसेज को सत्यापित कर रहा था। यदि वही verification path समझौता हो जाए तो फर्जी ट्रांसफर भी मंजूर हो सकता है।
क्योंकि हमलावर ने मूल चेन पर ETH लॉक नहीं किया था, इसलिए ये rsETH वास्तव में किसी वास्तविक ETH से backed नहीं थे—लेकिन दूसरे प्रोटोकॉल के लिए वे शुरुआत में वैध दिख रहे थे।
चोरी हुए rsETH से Aave की लिक्विडिटी कैसे निकाली गई
हमलावर ने टोकन तुरंत बेचने के बजाय DeFi लेंडिंग सिस्टम का उपयोग किया।
1. rsETH को collateral के रूप में जमा करना
हमलावर ने कई वॉलेट्स के माध्यम से Aave V3 में बड़ी मात्रा में rsETH जमा किए। अनुमान है कि लगभग 89,000 rsETH Aave में गिरवी रखे गए।
2. उसके खिलाफ असली एसेट उधार लेना
इन टोकनों की कीमत को collateral मानते हुए हमलावर ने WETH और अन्य ETH‑आधारित एसेट्स उधार ले लिए।
3. नकदी जैसी लिक्विडिटी निकालना
रिपोर्ट्स के अनुसार हमलावर ने $236 मिलियन से अधिक WETH और संबंधित एसेट्स उधार लिए।
जब बाद में rsETH की बैकिंग पर सवाल उठे, तो collateral की कीमत गिर गई और उधार लिए गए एसेट्स को कवर करना मुश्किल हो गया। इसी कारण Aave पर लगभग $177M से $200M के बीच बैड‑डेट बन गया।
Aave और DeFi बाजार पर तत्काल प्रभाव
यह घटना DeFi में तेज़ी से फैलने वाले लिक्विडिटी शॉक का उदाहरण बन गई।
मुख्य प्रभाव:
WETH पूल की utilization लगभग 100% तक पहुंच गई।
निवेशकों ने डर के कारण बड़ी मात्रा में फंड निकाल लिए।
कई DeFi प्रोटोकॉल से अरबों डॉलर की निकासी हुई।
कुछ ही हफ्तों में Aave का TVL $26.6B से घटकर लगभग $14.8B रह गया—जो करीब 44% गिरावट थी।
कई विश्लेषकों ने इसे DeFi का "bank‑run moment" कहा, भले ही प्लेटफॉर्म तकनीकी रूप से सुरक्षित था।
संकट के बाद Aave ने क्या कदम उठाए
1. जोखिम वाले मार्केट तुरंत फ्रीज़ किए
हमले के कुछ घंटों के भीतर:
rsETH और wrsETH मार्केट Aave V3 में फ्रीज़ कर दिए गए।
Loan‑to‑Value (LTV) को प्रभावी रूप से शून्य कर दिया गया ताकि नए उधार न लिए जा सकें।
इसके बाद कई नेटवर्क पर WETH उधारी पर भी अस्थायी रोक लगाई गई।
2. हमलावर की पोज़िशन लिक्विडेट करना
जांच और रिकवरी योजना के तहत Aave ने हमलावर से जुड़े बचे हुए collateral को लिक्विडेट किया।
इससे लगभग 13,000 ETH (~$30M) रिकवर किए गए।
ये एसेट्स Recovery Guardian multisig में ट्रांसफर किए गए, जिसे DeFi United मैनेज करता है।
3. बाजार को धीरे‑धीरे सामान्य करना
स्थिति स्थिर होने के बाद Aave ने धीरे‑धीरे मार्केट्स दोबारा शुरू किए।
18 मई 2026 तक:
WETH के Loan‑to‑Value रेशियो पुराने स्तर पर बहाल कर दिए गए।
WETH उधारी फिर से कई नेटवर्क पर शुरू हो गई, जिनमें Ethereum Core, Ethereum Prime, Arbitrum, Base, Mantle और Linea शामिल हैं।
कितना पैसा वापस मिला और कितना अभी भी फंसा है
घटना के बाद रिकवरी प्रक्रिया जटिल रही है।
रिकवर फंड्स
लिक्विडेशन से लगभग 13,000 ETH (~$30M) वापस मिले।
फ्रीज़ किए गए फंड्स
Arbitrum Security Council ने लगभग 30,766 ETH (~$71M) को फ्रीज़ कर दिया।
इन्हें एक intermediary वॉलेट में रखा गया है जिसे governance के जरिए नियंत्रित किया जा रहा है।
कानूनी प्रक्रियाओं के कारण इन फंड्स का पूरा उपयोग तुरंत संभव नहीं है।
इसके बाद भी रिपोर्टों के अनुसार rsETH की बैकिंग में लगभग 10% का गैप रह गया था।
इस घटना से DeFi को क्या सीख मिली
ब्रिज कॉन्फ़िगरेशन का जोखिम
समस्या LayerZero तकनीक में नहीं बल्कि ब्रिज की कॉन्फ़िगरेशन में थी। केवल एक verifier होने से सुरक्षा कमजोर हो गई।
collateral contagion
एक प्रोटोकॉल की समस्या दूसरे प्रोटोकॉल तक फैल सकती है यदि वही टोकन collateral के रूप में उपयोग हो रहा हो।
Aave का कोड सही काम कर रहा था, फिर भी उसे नुकसान हुआ क्योंकि collateral की बैकिंग टूट गई थी।
DeFi में बैंक‑रन जैसी स्थिति
लोगों का भरोसा अचानक टूटने पर बड़ी मात्रा में फंड निकाल लिए जाते हैं—यह घटना इसका बड़ा उदाहरण है।
जोखिम प्रबंधन में संभावित बदलाव
घटना के बाद DeFi में कई सुधारों की चर्चा तेज हुई:
collateral listing के कड़े नियम
supply caps
बेहतर cross‑chain verification
bridge‑आधारित collateral के लिए circuit breakers
निष्कर्ष
अप्रैल 2026 का KelpDAO एक्सप्लॉइट DeFi के लिए एक अहम सबक बन गया: सिर्फ स्मार्ट कॉन्ट्रैक्ट सुरक्षित होना ही पर्याप्त नहीं है; collateral की सुरक्षा भी उतनी ही महत्वपूर्ण है।
Aave के सिस्टम को सीधे हैक नहीं किया गया था। लेकिन लगभग $292 मिलियन के अनबैक्ड rsETH के बाजार में आने से लिक्विडिटी संकट पैदा हुआ, जिससे भारी बैड‑डेट बना और DeFi इतिहास की सबसे बड़ी TVL गिरावटों में से एक दर्ज हुई।
यह घटना अब DeFi में cross‑chain bridge जोखिम और collateral contagion का एक महत्वपूर्ण केस‑स्टडी बन चुकी है।
Comments
0 comments