Juhtumi aruanne: Llamarisk ja Aave teenusepakkujad kirjeldavad Kelpi rsETH-häkki Ethereumi ja Arbitrumi turgudel

Peamised järeldused:

• Llamariski andmetel kasutas ründaja 18. aprillil 2026. aastal ära Kelpi Layerzero V2 silda, vermides 116 500 rsETH-i ilma vastava põletamiseta.
• Llamarisk hindab halbade võlgade suuruseks 7 mõjutatud turul 123,7–230,1 miljonit dollarit, sõltuvalt sellest, kuidas Kelp kahjusid jagab.
• Aave DAO rahandusosakonnas on 20. aprilli 2026. aasta seisuga 181 miljonit dollarit ning teenusepakkujad on juba kindlustanud ökosüsteemi osalistelt esialgsed tagasimaksmise kohustused.

Llamarisk kirjeldab rsETH-i ärakasutamise stsenaariume pärast Kelp OFT-adapteri tühjendamist

Riskijuhtimisfirma Llamarisk ja Aave teenusepakkuja kaasautorite avaldatud analüüsis selgitati, et rünnak toimus kell 17:35 UTC Ethereumi plokis 24 908 285. Raporti kohaselt oli Unichain-Ethereum marsruut konfigureeritud 1-of-1 DVN-teena, mis tähendab, et üksainus verifitseerija võis kinnitada sissetuleva paketi ilma vastava väljamineva tegevuseta.

Llamariski autorid ütlesid, et ründaja võltsis paketi, mis Ethereumi võrgus kinnitati, salvestati ja edastati, vabastades adapterist 116 500 rsETH-i, märgib Aave'i raport. Adapteri saldo langes ühe ploki jooksul 116 723 rsETH-ilt 223 rsETH-ile. Ründaja jagas varastatud rsETH-i ühest vastuvõtu rahakotist seitsme haru aadressi vahel. Saadud 116 500 rsETH-st hoiustati 89 567 Ethereumi ja Arbitrumi Aave V3 turgudele tagatisena.
Neid positsioone kasutati ligikaudu 82 650 WETH ja 821 wstETH laenamiseks, kusjuures tervisetegurid jäid vahemikku 1,01–1,03. Kõik seitse ründaja aadressi on avaldamise hetkel Aave'is endiselt aktiivsed.

Aave'i teenusepakkujad osalesid Llamarisk'i täieliku intsidendi aruande koostamisel ja kinnitasid, et Aave'i enda nutilepingud ei olnud ohustatud. Kogu protokolli loogika, sealhulgas pakkumise, tagasimaksmise ja likvideerimise mehhanismid, toimisid kogu sündmuse vältel kavandatud viisil.
Protocol Guardian alustas kõigi rsETH- ja wrsETH-reservide külmutamist kõigis Aave V3 rakendustes umbes kell 19:00 UTC 18. aprillil. See tegevus seadis LTV nullile ja keelas uue pakkumise ja laenamise, jättes samas olemasolevad positsioonid tagasimaksmiseks ja likvideerimiseks kõlblikuks. Aave foorumi analüüsi kohaselt mõjutas see 11 turgu Ethereumis, Arbitrumis, Avalanches, Base'is, Inkis, Lineas, Mantles, MegaETHs, Plasmas ja Zksyncis.

Aruande kohaselt kohandas Risk Steward 19. aprillil kell 14:30 UTC WETH intressimäära mudeleid Arbitrumis, Base'is, Mantles ja Lineas, vähendades Slope 2 väärtust 1,50 protsendini ja langetades laenuintressi 100-protsendilise kasutuse korral 8,5–10,5 protsendilt 3,0 protsendini aastas. Vastav kohandus tehti Core'is 20. aprillil umbes kell 05:00 UTC, kusjuures Slope 1 seati 2 protsendile, Slope 2 3 protsendile ja optimaalne kasutamine 94 protsendile.

Protocol Guardian külmutas 20. aprillil kell 02:00 UTC ka WETH-i Core'is, Prime'is, Arbitrumis, Base'is, Mantle'is ja Lineas, et vältida uusi laene ja takistada potentsiaalse stressi levimist stabiilse valuuta reservidesse.

Kaks stsenaariumi

Llamarisk'i analüüsis modelleeritud kaks stsenaariumi peegeldavad seda, kuidas Kelpi kahjude jaotamise otsus määrab protokolli lõpliku riskipositsiooni. Stsenaarium 1 eeldab 112 204 tagatiseta rsETH ühtlast sotsialiseerimist kogu rsETH pakkumise ulatuses, mille tulemuseks on 15,12-protsendiline devalveerumine ja hinnanguliselt 123,7 miljonit dollarit halbade võlgade näol, kusjuures Ethereum Core neelab absoluutarvudes 91,8 miljonit dollarit ja Mantle seisab silmitsi 9,54-protsendilise WETH-reservi puudujäägiga.

Stsenaarium 2 käsitleb kahjumit kui ainult L2 rsETH-le iseloomulikku, kohaldades 73,54-protsendilist allahindlust kaugketi tagatisele, jättes samas Ethereumi põhivõrgu rsETH täielikult puutumata, mille tulemuseks on hinnanguliselt 230,1 miljonit dollarit halbade võlgade näol, mis on kontsentreerunud Mantlele 71,45-protsendilise WETH-puudujäägiga ja Arbitrumile 26,67-protsendilise puudujäägiga.

Praegune adapteri saldo on 40 373 rsETH, mis on ainus kinnitatud tagatis kõigi kaugketi rsETH-de jaoks kõigil L2-teedel, võrreldes kaugnõuete kogusummaga 152 577 rsETH. Kelp ei ole avalikult kinnitanud, kuidas tagasisaadud vahendid jaotatakse.

Aruande kohaselt oli Aave DAO varakambris 20. aprillil 2026. aastal 181 miljonit dollarit varasid, sealhulgas 62 miljonit dollarit Ethereumiga seotud varasid, 54 miljonit dollarit AAVE-s ja 52 miljonit dollarit stabiilseid münti. DAO teenis 2025. aastal 145 miljonit dollarit tulu ja 2026. aastal 38 miljonit dollarit. Llamarisk kinnitas, et ökosüsteemi osaliste poolt on juba võetud mitmeid soovituslikke kohustusi potentsiaalsete halbade võlgade stsenaariumite lahendamiseks.
WETH-reservid Ethereumil, Arbitrumil, Base'il, Lineal ja Mantle'il on 100-protsendiliselt kasutusel, kusjuures kasutamata saldod on igas ahelas alla 20 dollari. Täieliku kasutusega saavad likvideerijad aWETH-i asemel alusvara WETH-i, mis aeglustab likvideerimise läbilaskevõimet.

Llamariski aruandes märgiti Base'i ja Arbitrumi kui kõige vähem puhverdatud turge, kus esimesed likvideerimised käivitati vastavalt WETH-hinna languse korral 0,77 protsenti ja 1,77 protsenti, kuna positsioonide tervisetegurid olid umbes 1,03.

Llamarisk soovitas stsenaariumi 1 kohaselt WETH Umbrella staking-mooduli viivitamatut peatamist. Raporti avaldamise seisuga oli 23 507 staked aWETH-ist 18 922 jõudnud unstaking-ootetähtaega.

Peatamine blokeeriks sissemaksed, väljamaksed, ülekanded ja karistused, hoides samal ajal preemiate jaotamise aktiivseks. Ülejäänud neli rsETH-ga noteeritud turgu – Ethereum Lido, MegaETH, Plasma ja Zksync – on tühiste saldodega ja neil puuduvad halbvõlad. Kaksteist täiendavat Aave V3 turgu ei noteeri rsETH-d ja need ei ole mõjutatud.