Incidentrapport: Llamarisk en dienstverleners van Aave geven details over de Kelp rsETH-hack op de Ethereum- en Arbitrum-markten

Belangrijkste punten:

• Volgens Llamarisk maakte een aanvaller op 18 april 2026 misbruik van Kelp's Layerzero V2-bridge en sloeg hij 116.500 rsETH zonder dat er een overeenkomstige vernietiging plaatsvond.
• Llamarisk schat de oninbare vorderingen op tussen de 123,7 miljoen en 230,1 miljoen dollar verspreid over 7 getroffen markten, afhankelijk van hoe Kelp de verliezen verdeelt.
• De schatkist van Aave DAO beschikt op 20 april 2026 over $ 181 miljoen, en dienstverleners zijn al bezig met het verkrijgen van indicatieve toezeggingen voor terugbetaling van deelnemers aan het ecosysteem.

Llamarisk beschrijft rsETH-exploitscenario's na leeghalen van Kelp OFT-adapter

De analyse, gepubliceerd door risicobeheerbedrijf Llamarisk en mede-auteurs van Aave-dienstverleners, legde uit dat de aanval plaatsvond om 17:35 UTC in Ethereum-blok 24.908.285. De route van Unichain naar Ethereum was geconfigureerd als een 1-op-1 DVN-pad, wat betekent dat een enkele verificateur een inkomend pakket kon bevestigen zonder dat er een overeenkomstige uitgaande actie plaatsvond, aldus het rapport.

De auteurs van Llamarisk zeiden dat de aanvaller een pakket vervalste dat werd geverifieerd, vastgelegd en afgeleverd op Ethereum, waardoor 116.500 rsETH uit de adapter werd vrijgegeven, zo meldt het Aave-rapport. Het saldo van de adapter daalde in één blok van 116.723 rsETH naar 223 rsETH. De aanvaller verspreidde de gestolen rsETH vanuit één ontvangstportemonnee over zeven vertakkingsadressen. Van de 116.500 ontvangen rsETH werd 89.567 als onderpand gestort in Aave V3-markten op Ethereum en Arbitrum.
Deze posities werden gebruikt om ongeveer 82.650 WETH en 821 wstETH te lenen, waarbij de gezondheidsfactoren tussen 1,01 en 1,03 lagen. Alle zeven adressen van de aanvaller zijn op het moment van publicatie nog steeds actief op Aave.

Dienstverleners van Aave hebben meegewerkt aan het volledige incidentrapport van Llamarisk en bevestigd dat de eigen slimme contracten van Aave niet zijn gecompromitteerd. Alle protocol-logica, inclusief de mechanismen voor aanbod, terugbetaling en liquidatie, bleef tijdens het hele voorval functioneren zoals bedoeld.

De Protocol Guardian begon op 18 april om ongeveer 19:00 UTC met het bevriezen van alle rsETH- en wrsETH-reserves in alle Aave V3-implementaties. Door deze maatregel werd de LTV op nul gezet en werden nieuwe aanbod en leningen uitgeschakeld, terwijl bestaande posities in aanmerking bleven komen voor terugbetaling en liquidatie. Volgens de analyse op het Aave-forum werden elf markten op Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma en Zksync getroffen.

Volgens het rapport heeft de Risk Steward op 19 april omstreeks 14:30 UTC de WETH-rentemodellen op Arbitrum, Base, Mantle en Linea aangepast, waarbij Slope 2 werd verlaagd naar 1,50 procent en de leenrente bij 100 procent benutting werd verlaagd van tussen de 8,5 en 10,5 procent naar 3,0 procent APR. Een overeenkomstige aanpassing werd op 20 april om ongeveer 05:00 UTC toegepast op Core, waarbij Slope 1 werd ingesteld op 2 procent, Slope 2 op 3 procent en de optimale benutting op 94 procent.

De Protocol Guardian heeft op 20 april om ongeveer 02:00 UTC ook WETH op Core, Prime, Arbitrum, Base, Mantle en Linea bevroren om nieuwe leningen te voorkomen en te voorkomen dat potentiële stress zich verspreidt naar de reserves van stablecoins.

De 2 scenario's

De twee scenario's die in de analyse van Llamarisk zijn gemodelleerd, weerspiegelen hoe Kelp's beslissing over de toewijzing van verliezen de uiteindelijke blootstelling van het protocol zal bepalen. Scenario 1 gaat uit van een uniforme socialisatie van de 112.204 niet-gedekte rsETH over de gehele rsETH-voorraad, wat resulteert in een depeg van 15,12 procent en naar schatting 123,7 miljoen dollar aan oninbare vorderingen, waarbij Ethereum Core in absolute termen 91,8 miljoen dollar opvangt en Mantle te maken krijgt met een tekort van 9,54 procent in de WETH-reserve.

Scenario 2 behandelt het verlies als geïsoleerd tot alleen L2 rsETH, waarbij een haircut van 73,54 procent wordt toegepast op onderpand op externe ketens, terwijl Ethereum mainnet rsETH volledig intact blijft, wat resulteert in een geschatte 230,1 miljoen dollar aan oninbare vorderingen, geconcentreerd op Mantle met een WETH-tekort van 71,45 procent en Arbitrum met 26,67 procent.

Het huidige saldo van de adapter bedraagt 40.373 rsETH, de enige bevestigde dekking voor alle rsETH op externe ketens over elk L2-pad, tegenover totale externe vorderingen van 152.577 rsETH. Kelp heeft niet publiekelijk bevestigd hoe de teruggevorderde middelen zullen worden toegewezen.

Volgens het rapport beschikt de Aave DAO-kas per 20 april 2026 over 181 miljoen dollar aan activa, waaronder 62 miljoen dollar aan Ethereum-gerelateerde beleggingen, 54 miljoen dollar aan AAVE en 52 miljoen dollar aan stablecoins. De DAO genereerde 145 miljoen dollar aan inkomsten in 2025 en 38 miljoen dollar sinds het begin van 2026. Llamarisk bevestigde dat er al verschillende indicatieve toezeggingen van deelnemers aan het ecosysteem zijn gedaan om potentiële scenario's met oninbare vorderingen aan te pakken.
De WETH-reserves op Ethereum, Arbitrum, Base, Linea en Mantle worden voor 100 procent benut, met inactieve saldi van minder dan $ 20 op elke keten. Bij volledige benutting ontvangen liquidators aWETH in plaats van onderliggende WETH, wat de liquidatiedoorvoer vertraagt.

Het rapport van Llamarisk signaleerde Base en Arbitrum als de markten met de minste buffer, waarbij de eerste liquidaties werden geactiveerd bij WETH-prijsdalingen van respectievelijk 0,77 procent en 1,77 procent, vanwege posities met gezondheidsfactoren rond 1,03.

Llamarisk adviseerde een onmiddellijke pauze van de WETH Umbrella-stakingmodule onder Scenario 1. Op het moment van publicatie van het rapport waren 18.922 van de 23.507 gestake aWETH in de unstaking-cooldown terechtgekomen.

Een pauze zou stortingen, opnames, overboekingen en slashing blokkeren, terwijl de uitkering van beloningen actief blijft. De overige vier markten waarop rsETH wordt verhandeld, Ethereum Lido, MegaETH, Plasma en Zksync, hebben verwaarloosbare saldi en geen oninbare vorderingen. Twaalf andere Aave V3-markten verhandelen geen rsETH en worden niet beïnvloed.