Správa o incidente: Poskytovatelia služieb Llamarisk a Aave podrobne opisujú útok na rsETH v rámci trhov Ethereum a Arbitrum

Kľúčové body:

• Podľa spoločnosti Llamarisk útočník 18. apríla 2026 zneužil most Layerzero V2 spoločnosti Kelp a vytvoril 116 500 rsETH bez akéhokoľvek zodpovedajúceho spálenia.
• Llamarisk odhaduje nedobytné pohľadávky v rozmedzí od 123,7 milióna do 230,1 milióna dolárov na 7 postihnutých trhoch, v závislosti od toho, ako Kelp rozloží straty.
• Pokladnica Aave DAO disponuje k 20. aprílu 2026 sumou 181 miliónov USD a poskytovatelia služieb si už zabezpečujú predbežné záväzky na náhradu škôd od účastníkov ekosystému.

Llamarisk podrobne opisuje scenáre zneužitia rsETH po vyprázdnení adaptéra Kelp OFT

Analýza, ktorú zverejnili spoločnosť zaoberajúca sa riadením rizík Llamarisk a poskytovatelia služieb Aave ako spoluautori, vysvetľuje, že k útoku došlo o 17:35 UTC v bloku Ethereum 24 908 285. Trasa z Unichainu do Etherea bola nakonfigurovaná ako 1-of-1 DVN cesta, čo znamená, že jediný overovateľ mohol potvrdiť prichádzajúci paket bez akejkoľvek zodpovedajúcej odchádzajúcej akcie, uvádza sa v správe.

Autori zo spoločnosti Llamarisk uviedli, že útočník sfalšoval paket, ktorý bol overený, potvrdený a doručený na Ethereum, čím uvoľnil 116 500 rsETH z adaptéra, uvádza správa Aave. Zostatok adaptéra klesol z 116 723 rsETH na 223 rsETH v jedinom bloku. Útočník rozdelil ukradnuté rsETH z jednej vstupnej peňaženky na sedem vetvených adries. Z prijatých 116 500 rsETH bolo 89 567 vložených na trhy Aave V3 na Ethereum a Arbitrum ako kolaterál.
Tieto pozície boli použité na požičanie približne 82 650 WETH a 821 wstETH, pričom faktory zdravia sa pohybovali medzi 1,01 a 1,03. Všetkých sedem adries útočníka zostáva v čase publikácie aktívnych na Aave.

Poskytovatelia služieb Aave sa podieľali na vypracovaní úplnej správy o incidente spoločnosti Llamarisk a potvrdili, že vlastné inteligentné zmluvy Aave neboli ohrozené. Celá logika protokolu, vrátane mechanizmov ponuky, splácania a likvidácie, fungovala počas celej udalosti podľa plánu.
Protocol Guardian začal zmrazovať všetky rezervy rsETH a wrsETH vo všetkých nasadeniach Aave V3 približne o 19:00 UTC 18. apríla. Týmto krokom sa LTV nastavilo na nulu a deaktivovala sa nová ponuka a požičiavanie, pričom existujúce pozície zostali oprávnené na splácanie a likvidáciu. Podľa analýzy fóra Aave bolo ovplyvnených jedenásť trhov na platformách Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma a Zksync.

Správa uvádza, že Risk Steward upravil modely úrokových sadzieb WETH na Arbitrum, Base, Mantle a Linea približne o 14:30 UTC 19. apríla, čím znížil Slope 2 na 1,50 percenta a znížil úrokovú sadzbu pri 100-percentnom využití z 8,5 až 10,5 percenta na 3,0 percenta APR. Príslušná úprava bola uplatnená na Core približne o 05:00 UTC 20. apríla, pričom Slope 1 bol nastavený na 2 percentá, Slope 2 na 3 percentá a optimálne využitie na 94 percent.

Protocol Guardian tiež približne o 02:00 UTC 20. apríla zmrazil WETH na Core, Prime, Arbitrum, Base, Mantle a Linea, aby zabránil novým výpožičkám a zabránil šíreniu potenciálneho stresu na rezervy stablecoinov.

Dva scenáre

Dva scenáre modelované analýzou Llamarisk odrážajú, ako rozhodnutie Kelpu o alokácii strát určí konečnú expozíciu protokolu. Scenár 1 predpokladá rovnomerné rozdelenie 112 204 nezabezpečených rsETH v rámci celého objemu rsETH, čo vedie k 15,12-percentnému odkloneniu od parity a odhadovaným 123,7 miliónom dolárov v podobe nedobytných pohľadávok, pričom Ethereum Core absorbuje 91,8 milióna dolárov v absolútnych číslach a Mantle čelí 9,54-percentnému nedostatku rezerv WETH.

Scenár 2 považuje stratu za izolovanú iba na L2 rsETH, pričom uplatňuje 73,54-percentný haircut na kolaterál na vzdialených reťazcoch, zatiaľ čo rsETH v hlavnej sieti Ethereum zostáva úplne nedotknutý, čo vedie k odhadovaným 230,1 miliónom USD v nedobytných pohľadávkach sústredených na Mantle s 71,45-percentným nedostatkom WETH a na Arbitrum s 26,67 percentami.

Aktuálny zostatok adaptéra je 40 373 rsETH, čo je jediné potvrdené krytie pre všetky rsETH vzdialených reťazcov vo všetkých L2 cestách, oproti celkovým vzdialeným pohľadávkam vo výške 152 577 rsETH. Kelp verejne nepotvrdil, ako budú obnovené prostriedky alokované.

Podľa správy z 20. apríla 2026 má pokladnica Aave DAO aktíva v hodnote 181 miliónov USD, vrátane 62 miliónov USD v aktívach korelovaných s Ethereum, 54 miliónov USD v AAVE a 52 miliónov USD v stablecoinoch. DAO vygenerovalo v roku 2025 tržby vo výške 145 miliónov USD a v roku 2026 doteraz 38 miliónov USD. Llamarisk potvrdil, že účastníci ekosystému už prijali niekoľko indikatívnych záväzkov na riešenie potenciálnych scenárov nesplácaných pohľadávok.
Rezervy WETH na Ethereum, Arbitrum, Base, Linea a Mantle sú využité na 100 %, pričom nevyužité zostatky na každom reťazci sú nižšie ako 20 USD. Pri plnom využití likvidátori dostávajú aWETH namiesto podkladového WETH, čo spomaľuje priepustnosť likvidácie.

Správa spoločnosti Llamarisk označila Base a Arbitrum za trhy s najmenšou rezervou, pričom prvé likvidácie boli spustené pri poklese ceny WETH o 0,77 % resp. 1,77 %, a to kvôli pozíciám s ukazovateľom zdravia okolo 1,03.

Llamarisk odporučil okamžité pozastavenie stakingového modulu WETH Umbrella v rámci scenára 1. K dátumu zverejnenia správy vstúpilo 18 922 z 23 507 stakovaných aWETH do čakacej doby na zrušenie stakingu.

Pozastavenie by zablokovalo vklady, výbery, prevody a znižovanie odmien, pričom by sa zachovalo aktívne rozdeľovanie odmien. Zostávajúce štyri trhy kótované na rsETH, Ethereum Lido, MegaETH, Plasma a Zksync, majú zanedbateľné zostatky a žiadne nedobytné pohľadávky. Dvanásť ďalších trhov Aave V3 nekótuje rsETH a nie je nimi ovplyvnených.