Zpráva o incidentu: Poskytovatelé služeb Llamarisk a Aave popisují podrobnosti hackerského útoku na rsETH v rámci trhů Ethereum a Arbitrum

Klíčové body:

• Podle společnosti Llamarisk útočník 18. dubna 2026 zneužil most Layerzero V2 společnosti Kelp a vyrazil 116 500 rsETH bez jakéhokoli odpovídajícího spálení.
• Llamarisk odhaduje špatné dluhy v rozmezí 123,7 až 230,1 milionu dolarů napříč 7 postiženými trhy, v závislosti na tom, jak Kelp rozloží ztráty.
• Pokladna Aave DAO disponuje k 20. dubnu 2026 částkou 181 milionů dolarů a poskytovatelé služeb již zajišťují předběžné závazky k náhradě od účastníků ekosystému.

Llamarisk podrobně popisuje scénáře zneužití rsETH po vyprázdnění adaptéru Kelp OFT

Analýza zveřejněná společností Llamarisk zabývající se řízením rizik a spoluautory poskytovatele služeb Aave vysvětlila, že k útoku došlo v 17:35 UTC v bloku Ethereum 24 908 285. Trasa z Unichainu do Etherea byla nakonfigurována jako cesta 1-of-1 DVN, což znamená, že jediný ověřovatel mohl potvrdit příchozí paket bez jakékoli odpovídající odchozí akce, uvádí zpráva.

Autoři ze společnosti Llamarisk uvedli, že útočník zfalšoval paket, který byl ověřen, potvrzen a doručen na Ethereu, čímž uvolnil 116 500 rsETH z adaptéru, uvádí zpráva Aave. Zůstatek adaptéru klesl z 116 723 rsETH na 223 rsETH v jediném bloku. Útočník rozptýlil ukradené rsETH z jedné vstupní peněženky do sedmi odbočných adres. Z přijatých 116 500 rsETH bylo 89 567 uloženo na trzích Aave V3 na Ethereu a Arbitru jako kolaterál.
Tyto pozice byly použity k vypůjčení přibližně 82 650 WETH a 821 wstETH, přičemž faktory zdraví se pohybovaly mezi 1,01 a 1,03. Všech sedm adres útočníka zůstává v době zveřejnění této zprávy na Aave aktivních.

Poskytovatelé služeb Aave se podíleli na vypracování úplné zprávy o incidentu společnosti Llamarisk a potvrdili, že vlastní smart kontrakty Aave nebyly narušeny. Veškerá logika protokolu, včetně mechanismů nabídky, splácení a likvidace, fungovala po celou dobu události podle plánu.

Protocol Guardian začal zmrazovat všechny rezervy rsETH a wrsETH ve všech nasazeních Aave V3 přibližně v 19:00 UTC dne 18. dubna. Tímto krokem byla hodnota LTV nastavena na nulu a byly deaktivovány nové dodávky a půjčky, přičemž stávající pozice zůstaly způsobilé pro splácení a likvidaci. Podle analýzy fóra Aave bylo postiženo jedenáct trhů napříč Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma a Zksync.

Zpráva uvádí, že Risk Steward upravil modely úrokových sazeb WETH na Arbitrum, Base, Mantle a Linea přibližně v 14:30 UTC dne 19. dubna, čímž snížil Slope 2 na 1,50 procenta a snížil úrokovou sazbu při 100% využití z 8,5 až 10,5 procenta na 3,0 procenta APR. Odpovídající úprava byla provedena na platformě Core přibližně v 05:00 UTC dne 20. dubna, přičemž Slope 1 byl nastaven na 2 procenta, Slope 2 na 3 procenta a optimální využití na 94 procent.

Protocol Guardian také 20. dubna přibližně ve 02:00 UTC zmrazil WETH na Core, Prime, Arbitrum, Base, Mantle a Linea, aby zabránil novým půjčkám a omezil šíření potenciálního napětí na rezervy stablecoinů.

Dva scénáře

Dva scénáře modelované analýzou Llamarisk odrážejí, jak rozhodnutí Kelpu o alokaci ztrát určí konečnou expozici protokolu. Scénář 1 předpokládá rovnoměrné rozložení 112 204 nekrytých rsETH na celou zásobu rsETH, což vede k 15,12% odklonu od parity a odhadovaným špatným dluhům ve výši 123,7 milionu dolarů, přičemž Ethereum Core absorbuje 91,8 milionu dolarů v absolutních číslech a Mantle čelí 9,54% nedostatku rezerv WETH.

Scénář 2 považuje ztrátu za izolovanou pouze na L2 rsETH, přičemž na kolaterál na vzdálených řetězcích aplikuje 73,54% haircut, zatímco rsETH v hlavní síti Ethereum ponechává zcela nedotčené, což vede k odhadovaným 230,1 milionu dolarů v nedobytných pohledávkách soustředěných na Mantle s 71,45% nedostatkem WETH a Arbitrum s 26,67 %.

Aktuální zůstatek adaptéru činí 40 373 rsETH, což je jediné potvrzené krytí pro veškerý rsETH na vzdálených řetězcích napříč všemi cestami L2, oproti celkovým vzdáleným pohledávkám ve výši 152 577 rsETH. Kelp veřejně nepotvrdil, jak budou obnovené prostředky alokovány.

Zpráva uvádí, že k 20. dubnu 2026 drží pokladna Aave DAO aktiva v hodnotě 181 milionů dolarů, včetně 62 milionů dolarů v drženích korelovaných s Ethereum, 54 milionů dolarů v AAVE a 52 milionů dolarů ve stablecoinech. DAO vygenerovalo v roce 2025 tržby ve výši 145 milionů dolarů a v roce 2026 dosud 38 milionů dolarů. Společnost Llamarisk potvrdila, že již existuje několik indikativních závazků od účastníků ekosystému, které mají řešit potenciální scénáře špatných dluhů.
Rezervy WETH na Ethereum, Arbitrum, Base, Linea a Mantle jsou využity na 100 procent, přičemž nečinné zůstatky na každém řetězci jsou nižší než 20 dolarů. Při plném využití dostávají likvidátoři aWETH namísto podkladového WETH, což zpomaluje likvidační propustnost.

Zpráva společnosti Llamarisk označila Base a Arbitrum za trhy s nejmenší rezervou, přičemž první likvidace byly spuštěny při poklesu ceny WETH o 0,77 %, respektive 1,77 %, kvůli pozicím s faktory zdraví kolem 1,03.

Llamarisk doporučil okamžité pozastavení stakingového modulu WETH Umbrella v rámci scénáře 1. V době zveřejnění zprávy vstoupilo 18 922 z 23 507 staked aWETH do ochlazovacího období pro zrušení stakingu.

Pozastavení by zablokovalo vklady, výběry, převody a slashing, přičemž by zůstalo aktivní rozdělování odměn. Zbývající čtyři trhy s rsETH, Ethereum Lido, MegaETH, Plasma a Zksync, mají zanedbatelné zůstatky a žádné nedobytné pohledávky. Dalších dvanáct trhů Aave V3 rsETH neuvádí a nejsou tímto ovlivněny.