Tapahtumaraportti: Llamarisk ja Aave-palveluntarjoajat kertovat yksityiskohtaisesti Kelpin rsETH-hakkeroinnista Ethereumin ja Arbitrumin markkinoilla

Tärkeimmät johtopäätökset:

• Llamariskin mukaan hyökkääjä hyödynsi Kelpin Layerzero V2 -siltaa 18. huhtikuuta 2026 ja loi 116 500 rsETH:ta ilman vastaavaa polttamista.
• Llamarisk arvioi luottotappioiden olevan 123,7–230,1 miljoonaa dollaria seitsemällä vaikutusalueella, riippuen siitä, miten Kelp jakaa tappiot.
• Aave DAO:n kassassa on 181 miljoonaa dollaria 20. huhtikuuta 2026, ja palveluntarjoajat ovat jo varmistamassa alustavia takaisinperintäsitoumuksia ekosysteemin osallistujilta.

Llamarisk esittelee rsETH-hyökkäysskenaarioita Kelp OFT -sovittimen tyhjentämisen jälkeen

Riskienhallintayhtiö Llamariskin ja Aave-palveluntarjoajien yhdessä julkaisemassa analyysissä selitettiin, että hyökkäys tapahtui kello 17.35 UTC Ethereumin lohkossa 24 908 285. Unichain-Ethereum-reitti oli konfiguroitu 1-of-1 DVN-poluksi, mikä tarkoittaa, että yksi tarkistaja pystyi vahvistamaan saapuvan paketin ilman vastaavaa lähtevää toimintaa, raportin mukaan.

Llamariskin kirjoittajat kertoivat, että hyökkääjä väärensi paketin, joka vahvistettiin, kirjattiin ja toimitettiin Ethereumissa, vapauttaen 116 500 rsETH:ta sovittimesta, Aaven raportti toteaa. Sovittimen saldo laski 116 723 rsETH:sta 223 rsETH:iin yhdessä lohkossa. Hyökkääjä jakoi varastetun rsETH:n yhdestä vastaanottolompakosta seitsemään haaraosoitteeseen. Vastaanotetuista 116 500 rsETH:sta 89 567 talletettiin vakuudeksi Aave V3 -markkinoille Ethereumissa ja Arbitrumissa.
Näitä positioita käytettiin noin 82 650 WETH:n ja 821 wstETH:n lainaamiseen, ja terveystekijät asettuivat välille 1,01–1,03. Kaikki seitsemän hyökkääjän osoitetta ovat edelleen aktiivisia Aavessa julkaisun aikaan.

Aaven palveluntarjoajat olivat mukana laatimassa Llamariskin täydellistä tapahtumaraporttia ja vahvistivat, että Aaven omia älykkäitä sopimuksia ei vaarannettu. Kaikki protokollan logiikka, mukaan lukien tarjonta-, takaisinmaksu- ja likvidaatiomekanismit, jatkoi toimintaansa suunnitellusti koko tapahtuman ajan.
Protocol Guardian aloitti kaikkien rsETH- ja wrsETH-varantojen jäädyttämisen kaikissa Aave V3 -käyttöönotoissa noin klo 19.00 UTC 18. huhtikuuta. Toimenpide asetti LTV:n nollaan ja poisti käytöstä uuden tarjonnan ja lainanoton, mutta jätti olemassa olevat positiot takaisinmaksu- ja likvidaatiokelpoisiksi. Aaven foorumin analyysin mukaan vaikutukset ulottuivat 11 markkinaan Ethereumissa, Arbitrumissa, Avalanchessa, Basessa, Inkissä, Lineassa, Mantlessa, MegaETH:ssa, Plasmassa ja Zksyncissä.

Raportin mukaan Risk Steward sääti WETH-korkomalleja Arbitrumissa, Basessa, Mantlessa ja Lineassa 19. huhtikuuta noin klo 14.30 UTC, laskemalla Slope 2:n 1,50 prosenttiin ja leikkaamalla 100 prosentin käyttöasteen lainakorkoa 8,5–10,5 prosentista 3,0 prosentin vuosikorkoon. Vastaava säätö tehtiin Core-alustalle noin klo 05.00 UTC 20. huhtikuuta, jolloin Slope 1 asetettiin 2 prosenttiin, Slope 2 3 prosenttiin ja optimaalinen käyttöaste 94 prosenttiin.

Protocol Guardian jäädytti myös WETH:n Core-, Prime-, Arbitrum-, Base-, Mantle- ja Linea-verkostoissa noin klo 02.00 UTC 20. huhtikuuta estääkseen uusia lainoja ja hillitäkseen potentiaalisen stressin leviämistä stablecoin-varantoihin.

Kaksi skenaariota

Llamariskin analyysissä mallinnetut kaksi skenaariota heijastavat sitä, kuinka Kelpin tappioiden jakamispäätös määrittää protokollan lopullisen riskin. Skenaario 1 olettaa 112 204:n vakuudettoman rsETH:n tasaisen jakautumisen koko rsETH-tarjontaan, mikä tuottaa 15,12 prosentin irtautumisen ja arviolta 123,7 miljoonan dollarin luottotappiot, jolloin Ethereum Core ottaa absoluuttisesti 91,8 miljoonaa dollaria ja Mantle joutuu kohtaamaan 9,54 prosentin WETH-varantovajeen.

Skenaario 2 käsittelee tappiota vain L2-rsETH:iin kohdistuvana, soveltaen 73,54 prosentin leikkausta etäketjujen vakuuksiin ja jättäen Ethereumin pääverkoston rsETH:n täysin koskemattomaksi, mikä tuottaa arviolta 230,1 miljoonan dollarin luottotappiot, jotka keskittyvät Mantleen 71,45 prosentin WETH-vajeella ja Arbitrumiin 26,67 prosentin vajeella.

Adapterin nykyinen saldo on 40 373 rsETH, mikä on ainoa vahvistettu vakuus kaikille etäketjujen rsETH:lle kaikilla L2-reiteillä, kun etäketjujen kokonaisvaatimukset ovat 152 577 rsETH. Kelp ei ole julkisesti vahvistanut, miten takaisin saadut varat jaetaan.

Raportin mukaan 20. huhtikuuta 2026 Aave DAO:n kassassa oli 181 miljoonaa dollaria varoja, mukaan lukien 62 miljoonaa dollaria Ethereum-korreloituja omistuksia, 54 miljoonaa dollaria AAVE:tä ja 52 miljoonaa dollaria stablecoineja. DAO tuotti 145 miljoonaa dollaria tuloja vuonna 2025 ja 38 miljoonaa dollaria vuoden 2026 alusta lähtien. Llamarisk vahvisti, että ekosysteemin osallistujilta on jo saatu useita alustavia sitoumuksia mahdollisten luottotappioskenaarioiden varalta.

WETH-varannot Ethereumissa, Arbitrumissa, Basessa, Lineassa ja Mantlessa ovat 100-prosenttisesti käytössä, ja käyttämättömät saldot ovat alle 20 dollaria jokaisessa ketjussa. Täydellä käyttöasteella likvidaattorit saavat aWETH:iä sen sijaan, että saisivat taustalla olevaa WETH:iä, mikä hidastaa likvidaatioiden läpimenoa.

Llamariskin raportissa Base ja Arbitrum merkittiin markkinoiksi, joilla on vähiten puskureita, ja ensimmäiset likvidaatiot laukaistiin WETH-hinnan laskiessa vastaavasti 0,77 prosenttia ja 1,77 prosenttia, koska positioiden terveystasot olivat noin 1,03.

Llamarisk suositteli WETH Umbrella -staking-moduulin välitöntä keskeyttämistä skenaariossa 1. Raportin julkaisuhetkellä 18 922 staked aWETH:sta 23 507:stä oli siirtynyt stakingin purkamisen odotusaikaan.

Keskeytys estäisi talletukset, nostot, siirrot ja slashingin, mutta palkkioiden jakelu jatkuisi. Jäljellä olevilla neljällä rsETH-listatulla markkinalla, Ethereum Lido, MegaETH, Plasma ja Zksync, on vähäisiä saldoja eikä luottotappioita. Kaksitoista muuta Aave V3 -markkinaa ei listaa rsETH:tä, joten ne eivät ole vaikutuksen alaisia.