Как эксплойт KelpDAO в апреле 2026 года спровоцировал крупнейший кризис ликвидности в Aave

Кратко о событии

В апреле 2026 года децентрализованные финансы столкнулись с крупнейшим инцидентом безопасности года. Уязвимость в кроссчейн‑мосте rsETH проекта KelpDAO позволила злоумышленнику выпустить сотни миллионов долларов необеспеченных токенов.

Эти токены затем были использованы как залог на платформах кредитования — прежде всего в Aave V3 — чтобы занять реальные активы, включая wrapped Ether (WETH).

Итогом стал цепной кризис ликвидности в DeFi: Aave получил сотни миллионов долларов потенциально безнадежного долга, а его TVL (общая заблокированная стоимость) за месяц упал примерно на 44% — с ~$26,6 млрд до ~$14,8 млрд.

Важно: сам Aave взломан не был. Проблема возникла из‑за того, что в протокол попал скомпрометированный актив‑залог.

---

Что произошло при эксплойте KelpDAO

Атака произошла 18 апреля 2026 года. Злоумышленник воспользовался ошибкой конфигурации в мосте KelpDAO, построенном на инфраструктуре LayerZero.

Основные детали атаки:

• был принят поддельный кроссчейн‑пакет подтверждения;
• мост выпустил 116 500 токенов rsETH;
• их стоимость на тот момент составляла примерно $292–$294 млн;
• это около 18% циркулирующего предложения rsETH.

Ключевая проблема заключалась в конфигурации проверки сообщений: мост использовал схему одного валидатора (1‑of‑1 DVN). Если такой проверяющий узел подтверждает сообщение, оно считается легитимным.

Это позволило атакующему выпустить токены без фактической блокировки или сжигания ETH на исходной сети, поэтому новые rsETH оказались по сути необеспеченными.

Вся операция заняла менее часа до остановки системы аварийными механизмами.

---

Как злоумышленник использовал rsETH против Aave

Вместо того чтобы сразу продать украденные токены на рынке (что быстро обрушило бы цену), атакующий применил более эффективную стратегию внутри DeFi‑кредитования.

1. Депозит токенов как залога

Злоумышленник разместил большие объемы rsETH в пуллах Aave V3 через несколько кошельков.

По оценкам, около 89 000 rsETH оказались размещены в протоколе.

2. Заем реальных активов

Используя этот залог, атакующий занял реальные активы:

• WETH
• другие токены, номинированные в ETH

Общая сумма займов составила более $236 млн.

3. Конвертация в ликвидный ETH

После заимствования эти активы можно было свободно перемещать или продавать — фактически выводя ликвидность из протоколов.

Когда стало ясно, что rsETH не полностью обеспечен, залог перестал покрывать взятые кредиты. В результате Aave столкнулся с оценочным безнадежным долгом около $177–200 млн.

---

Немедленная реакция рынка

Инцидент вызвал один из самых быстрых шоков ликвидности в истории DeFi.

Основные последствия:

• загрузка пула WETH почти достигла 100%, так как ликвидность быстро занимали;
• пользователи начали массово выводить средства из Aave;
• в течение нескольких дней из DeFi‑протоколов ушли миллиарды долларов.

В результате TVL Aave сократился примерно на 44% в течение месяца.

По динамике это напоминало банковский набег, хотя технически сам протокол оставался безопасным.

---

Экстренные меры Aave

Команда управления рисками и DAO Aave отреагировали довольно быстро.

Заморозка рынков

В течение нескольких часов после атаки:

• рынки rsETH и wrsETH были заморожены на всех развертываниях Aave V3;
• показатель loan‑to‑value фактически обнулили, чтобы прекратить новые займы.

Позже ограничения распространили и на заимствование WETH в нескольких сетях, чтобы остановить дальнейший отток ликвидности.

Ликвидация позиций злоумышленника

После стабилизации системы Aave организовал контролируемую ликвидацию оставшихся позиций атакующего.

Это позволило высвободить примерно 13 000 ETH (~$30 млн).

Средства были отправлены в Recovery Guardian — мультиподписной кошелек, управляемый организацией DeFi United для восстановления обеспечения rsETH.

Возобновление работы рынков

По мере стабилизации ситуации ограничения начали постепенно снимать.

К 18 мая 2026 года Aave:

• восстановил прежние LTV‑параметры для WETH;
• снова разрешил заимствование на ключевых сетях:
  • Ethereum Core
  • Ethereum Prime
  • Arbitrum
  • Base
  • Mantle
  • Linea.

Это стало важным шагом для возвращения доверия к ликвидности протокола.

---

Что удалось вернуть — и что остается замороженным

Финансовые последствия инцидента остаются сложными.

Возвращенные средства

• около 13 000 ETH (~$30 млн) получены при ликвидации позиций атакующего.

Замороженные средства

• 30 766 ETH (~$71 млн) были заморожены Советом безопасности Arbitrum.

Эти средства находятся в специальном кошельке под контролем управления Arbitrum, пока продолжаются юридические процедуры.

Судебные разбирательства задерживают их использование для восстановления потерь.

Даже после ликвидаций аналитики отмечали, что в обеспечении rsETH остается дефицит около 10%, что показывает масштаб первоначальной проблемы.

---

Почему этот инцидент важен для всей индустрии DeFi

Эксплойт выявил несколько системных рисков в инфраструктуре децентрализованных финансов.

Риск конфигурации мостов

Проблема возникла не из‑за самого протокола LayerZero, а из‑за конфигурации моста.

Использование одного проверяющего узла означало, что компрометация единственного канала проверки могла разрешить мошенническую транзакцию.

«Заражение» через залог

Инцидент показал, как уязвимость одного протокола может распространяться на другие.

Логика кредитования Aave работала корректно, но протокол все равно понес убытки, потому что принял актив, чье обеспечение внезапно исчезло.

Динамика «банковского набега»

Рынок отреагировал мгновенно: пользователи начали массово выводить средства, опасаясь потенциальных потерь.

Это показывает, что кризис доверия способен быстро дестабилизировать даже крупнейшие DeFi‑платформы.

Изменения в управлении рисками

После инцидента в индустрии усилились призывы к:

• более строгому листингу залоговых активов;
• ограничениям на объемы поставки токенов;
• усиленной проверке кроссчейн‑мостов;
• механизмам аварийной остановки для активов, зависящих от мостов.

---

Итог

Эксплойт KelpDAO в апреле 2026 года стал одним из самых показательных случаев системного риска в DeFi.

Aave не был взломан, но попадание в систему $292 млн необеспеченных rsETH вызвало огромный шок ликвидности, привело к сотням миллионов потенциального долга и одному из крупнейших падений TVL в истории протокола.

С тех пор этот инцидент часто рассматривается как ключевой пример рисков кроссчейн‑мостов и эффекта заражения между протоколами DeFi.