ঘটনা প্রতিবেদন: Llamarisk, Aave সেবা প্রদানকারীরা Ethereum এবং Arbitrum মার্কেট জুড়ে Detail Kelp rsETH হ্যাক সম্পর্কে বিস্তারিত জানায়

মূল বিষয়সমূহ:

• Llamarisk-এর মতে, 18 এপ্রিল, 2026-এ একজন আক্রমণকারী Kelp-এর Layerzero V2 ব্রিজ এক্সপ্লয়েট করে কোনো সমপরিমাণ বার্ন ছাড়াই 116,500 rsETH মিন্ট করে।
• Kelp কীভাবে ক্ষতি সোশ্যালাইজ করে তার ওপর নির্ভর করে Llamarisk ৭টি প্রভাবিত মার্কেটে $123.7M থেকে $230.1M পর্যন্ত ব্যাড ডেট অনুমান করেছে।
• 20 এপ্রিল, 2026 পর্যন্ত Aave DAO ট্রেজারিতে $181M রয়েছে, এবং সার্ভিস প্রোভাইডাররা ইতোমধ্যে ইকোসিস্টেম অংশগ্রহণকারীদের কাছ থেকে ইঙ্গিতপূর্ণ রিকভারি কমিটমেন্ট নিশ্চিত করছে।

Kelp OFT অ্যাডাপ্টার ড্রেইন হওয়ার পর Llamarisk rsETH এক্সপ্লয়েটের পরিস্থিতিসমূহের বিস্তারিত তুলে ধরেছে

ঝুঁকি ব্যবস্থাপনা প্রতিষ্ঠান Llamarisk এবং Aave সার্ভিস প্রোভাইডার সহ-লেখকদের প্রকাশিত বিশ্লেষণ-এ ব্যাখ্যা করা হয়েছে যে আক্রমণটি ঘটে 17:35 UTC-এ, Ethereum ব্লক 24,908,285-এ। রিপোর্ট অনুযায়ী, Unichain-থেকে-Ethereum রুটটি 1-of-1 DVN পাথ হিসেবে কনফিগার করা ছিল, অর্থাৎ একটি একক ভেরিফায়ার কোনো সংশ্লিষ্ট আউটবাউন্ড অ্যাকশন ছাড়াই একটি ইনবাউন্ড প্যাকেট attest করতে পারত।

Llamarisk লেখকরা বলেন, আক্রমণকারী একটি প্যাকেট জাল করেছিল যা Ethereum-এ ভেরিফাই, কমিট এবং ডেলিভার হয়, ফলে অ্যাডাপ্টার থেকে 116,500 rsETH রিলিজ হয়—Aave রিপোর্টে এ কথা উল্লেখ আছে। অ্যাডাপ্টারের ব্যালান্স এক ব্লকের মধ্যেই 116,723 rsETH থেকে 223 rsETH-এ নেমে যায়। আক্রমণকারী চুরি করা rsETH একটি ইনটেক ওয়ালেট থেকে সাতটি ব্রাঞ্চ ঠিকানায় ছড়িয়ে দেয়। প্রাপ্ত 116,500 rsETH-এর মধ্যে 89,567টি Ethereum এবং Arbitrum-এর Aave V3 মার্কেটে জামানত হিসেবে ডিপোজিট করা হয়।

এই পজিশনগুলো ব্যবহার করে আনুমানিক 82,650 WETH এবং 821 wstETH ঋণ নেওয়া হয়, যেখানে হেলথ ফ্যাক্টর 1.01 থেকে 1.03-এর মধ্যে স্থির হয়। প্রকাশনার সময় পর্যন্ত সাতটি আক্রমণকারী ঠিকানাই Aave-এ সক্রিয় রয়েছে।

Aave সার্ভিস প্রোভাইডাররা Llamarisk-এর পূর্ণাঙ্গ ইনসিডেন্ট রিপোর্ট সহ-লেখক হিসেবে তৈরি করেছেন এবং নিশ্চিত করেছেন যে Aave-এর নিজস্ব স্মার্ট কন্ট্রাক্টগুলো কমপ্রোমাইজড হয়নি। সরবরাহ, পরিশোধ এবং লিকুইডেশন মেকানিক্সসহ সব প্রোটোকল লজিক পুরো ঘটনার সময়জুড়ে নকশা অনুযায়ী কাজ করেছে।

প্রোটোকল গার্ডিয়ান 18 এপ্রিল প্রায় 19:00 UTC-এ সব Aave V3 ডিপ্লয়মেন্ট জুড়ে rsETH এবং wrsETH-এর সব রিজার্ভ ফ্রিজ করা শুরু করে। এই পদক্ষেপে LTV শূন্য করা হয় এবং নতুন সাপ্লাই ও বোরোয়িং নিষ্ক্রিয় করা হয়, তবে বিদ্যমান পজিশনগুলো পরিশোধ ও লিকুইডেশনের জন্য যোগ্য থাকে। Aave ফোরামের বিশ্লেষণ অনুযায়ী Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma, এবং Zksync—এই ১১টি মার্কেট প্রভাবিত হয়।

রিপোর্টে বলা হয়েছে, রিস্ক স্টুয়ার্ড 19 এপ্রিল প্রায় 14:30 UTC-এ Arbitrum, Base, Mantle এবং Linea-তে WETH ইন্টারেস্ট রেট মডেল সামঞ্জস্য করে, Slope 2 কমিয়ে 1.50 শতাংশ করে এবং 100 শতাংশ ইউটিলাইজেশনে বোরো রেট 8.5 থেকে 10.5 শতাংশের মধ্যে থেকে কমিয়ে 3.0 শতাংশ APR করে। সংশ্লিষ্ট একটি সমন্বয় 20 এপ্রিল প্রায় 05:00 UTC-এ Core-এ প্রয়োগ করা হয়, যেখানে Slope 1 2 শতাংশ, Slope 2 3 শতাংশ এবং অপটিমাল ইউটিলাইজেশন 94 শতাংশ নির্ধারণ করা হয়।

প্রোটোকল গার্ডিয়ান 20 এপ্রিল প্রায় 02:00 UTC-এ Core, Prime, Arbitrum, Base, Mantle এবং Linea-তে WETH-ও ফ্রিজ করে যাতে নতুন বোরোয়িং প্রতিরোধ করা যায় এবং সম্ভাব্য চাপ স্টেবলকয়েন রিজার্ভে ছড়িয়ে পড়া নিয়ন্ত্রণে রাখা যায়।

দুটি পরিস্থিতি

Llamarisk-এর বিশ্লেষণে মডেল করা দুটি পরিস্থিতি দেখায়, Kelp-এর ক্ষতি বরাদ্দের সিদ্ধান্ত কীভাবে প্রোটোকলের চূড়ান্ত এক্সপোজার নির্ধারণ করবে। পরিস্থিতি 1 ধরে নেয় যে পুরো rsETH সাপ্লাই জুড়ে 112,204টি আনব্যাকড rsETH সমানভাবে সোশ্যালাইজ করা হবে, ফলে 15.12 শতাংশ ডিপেগ এবং আনুমানিক $123.7 মিলিয়ন ব্যাড ডেট তৈরি হবে; এতে পরম মানে Ethereum Core $91.8 মিলিয়ন শোষণ করবে এবং Mantle-এ 9.54 শতাংশ WETH রিজার্ভ ঘাটতি দেখা দেবে।

পরিস্থিতি 2 ক্ষতিটিকে শুধু L2 rsETH-এ সীমাবদ্ধ হিসেবে ধরে, রিমোট চেইনগুলিতে জামানতে 73.54 শতাংশ হেয়ারকাট প্রয়োগ করে, তবে Ethereum মেইননেটে rsETH সম্পূর্ণ অক্ষত রাখে; এতে আনুমানিক $230.1 মিলিয়ন ব্যাড ডেট তৈরি হবে, যা Mantle-এ 71.45 শতাংশ WETH ঘাটতি এবং Arbitrum-এ 26.67 শতাংশ হিসেবে কেন্দ্রীভূত হবে।

বর্তমান অ্যাডাপ্টার ব্যালান্স 40,373 rsETH, যা প্রতিটি L2 পাথ জুড়ে সব রিমোট-চেইন rsETH-এর জন্য একমাত্র নিশ্চিত ব্যাকিং, যেখানে মোট রিমোট ক্লেইম 152,577 rsETH। পুনরুদ্ধারকৃত ফান্ড কীভাবে বরাদ্দ করা হবে সে বিষয়ে Kelp প্রকাশ্যে নিশ্চিত করেনি।

20 এপ্রিল, 2026 পর্যন্ত রিপোর্টে বলা হয়েছে যে Aave DAO ট্রেজারিতে $181 মিলিয়ন সম্পদ রয়েছে, যার মধ্যে $62 মিলিয়ন Ethereum-করেলেটেড হোল্ডিং, $54 মিলিয়ন AAVE, এবং $52 মিলিয়ন স্টেবলকয়েনে। DAO 2025 সালে $145 মিলিয়ন রাজস্ব এবং 2026 সালে এ পর্যন্ত $38 মিলিয়ন রাজস্ব অর্জন করেছে। Llamarisk নিশ্চিত করেছে যে সম্ভাব্য ব্যাড-ডেট পরিস্থিতি মোকাবিলায় ইকোসিস্টেম অংশগ্রহণকারীদের থেকে একাধিক ইঙ্গিতপূর্ণ কমিটমেন্ট ইতোমধ্যে স্থাপিত আছে।

Ethereum, Arbitrum, Base, Linea, এবং Mantle-এ WETH রিজার্ভ 100 শতাংশ ইউটিলাইজেশনে রয়েছে, এবং প্রতিটি চেইনে আইডল ব্যালান্স $20-এর নিচে। পূর্ণ ইউটিলাইজেশনে লিকুইডেটররা আন্ডারলাইং WETH-এর বদলে aWETH পায়, যা লিকুইডেশন থ্রুপুট ধীর করে।

Llamarisk-এর রিপোর্টে Base এবং Arbitrum-কে সবচেয়ে কম বাফারযুক্ত মার্কেট হিসেবে চিহ্নিত করা হয়েছে; হেলথ ফ্যাক্টর প্রায় 1.03-এ চলমান পজিশনগুলোর কারণে যথাক্রমে WETH মূল্যে 0.77 শতাংশ এবং 1.77 শতাংশ পতনে প্রথম লিকুইডেশন ট্রিগার হবে।

Llamarisk পরিস্থিতি 1-এর অধীনে WETH Umbrella স্টেকিং মডিউল অবিলম্বে পজ করার সুপারিশ করেছে। রিপোর্ট প্রকাশের সময় পর্যন্ত 23,507টি স্টেকড aWETH-এর মধ্যে 18,922টি আনস্টেকিং কুলডাউনে প্রবেশ করেছে।

একটি পজ ডিপোজিট, উইথড্রয়াল, ট্রান্সফার এবং স্ল্যাশিং ব্লক করবে, তবে রিওয়ার্ড ডিস্ট্রিবিউশন সক্রিয় রাখবে। বাকি চারটি rsETH-লিস্টেড মার্কেট—Ethereum Lido, MegaETH, Plasma, এবং Zksync—এ তুচ্ছ ব্যালান্স রয়েছে এবং কোনো ব্যাড ডেট নেই। অতিরিক্ত ১২টি Aave V3 মার্কেটে rsETH তালিকাভুক্ত নয় এবং সেগুলো প্রভাবিত হয়নি।