Ulat ng Insidente: Ibinahagi ng Llamarisk, mga Tagapagbigay ng Serbisyo ng Aave ang mga Detalye ng Kelp rsETH Hack sa mga Merkado ng Ethereum at Arbitrum

Mahahalagang Punto:

• Ayon sa Llamarisk, sinamantala ng isang attacker ang Layerzero V2 bridge ng Kelp noong Abril 18, 2026, at nag-mint ng 116,500 rsETH nang walang katumbas na burn.
• Tinataya ng Llamarisk ang bad debt sa pagitan ng $123.7M at $230.1M sa 7 apektadong market, depende sa kung paano ipo-pool ng Kelp ang mga pagkalugi.
• Ang Aave DAO treasury ay may hawak na $181M noong Abril 20, 2026, at ang mga service provider ay nagsisiguro na ng mga indikatif na commitment sa pag-recover mula sa mga kalahok sa ecosystem.

Idinetalye ng Llamarisk ang mga Senaryo ng rsETH Exploit Matapos Ma-drain ang Kelp OFT Adapter

Ang pagsusuri na inilathala ng risk management company na Llamarisk at ng mga co-author na Aave service provider ay nagpaliwanag na ang pag-atake ay naganap bandang 17:35 UTC sa Ethereum block 24,908,285. Ang ruta mula Unichain papuntang Ethereum ay na-configure bilang 1-of-1 DVN path, ibig sabihin ay isang verifier lang ang puwedeng magpatunay ng inbound packet nang walang katumbas na outbound action, ayon sa ulat.

Sinabi ng mga may-akda ng Llamarisk na ang attacker ay nanghuwad ng packet na na-verify, na-commit, at naihatid sa Ethereum, na naglabas ng 116,500 rsETH mula sa adapter, ayon sa ulat ng Aave. Bumagsak ang balanse ng adapter mula 116,723 rsETH tungo sa 223 rsETH sa iisang block. Ikinalat ng attacker ang ninakaw na rsETH mula sa isang intake wallet papunta sa pitong branch address. Sa 116,500 rsETH na natanggap, 89,567 ang idineposito sa mga Aave V3 market sa Ethereum at Arbitrum bilang collateral.

Ginamit ang mga posisyong iyon para manghiram ng humigit-kumulang 82,650 WETH at 821 wstETH, na ang mga health factor ay nasa pagitan ng 1.01 at 1.03. Lahat ng pitong attacker address ay nananatiling aktibo sa Aave sa oras ng publikasyon.

Naki-co-author ang mga Aave service provider sa buong incident report ng Llamarisk at kinumpirma na hindi nakompromiso ang sariling mga smart contract ng Aave. Lahat ng protocol logic, kabilang ang supply, repayment, at liquidation mechanics, ay nagpatuloy na gumana ayon sa disenyo sa buong pangyayari.

Sinimulan ng Protocol Guardian ang pag-freeze sa lahat ng rsETH at wrsETH reserves sa lahat ng Aave V3 deployment bandang 19:00 UTC noong Abril 18. Itinakda ng aksyon ang LTV sa zero at hindi pinagana ang bagong supply at paghiram habang iniiwan ang mga kasalukuyang posisyon na kwalipikado para sa repayment at liquidation. Ayon sa pagsusuri sa Aave forum, labing-isang market sa Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma, at Zksync ang naapektuhan.

Sinasabi ng ulat na in-adjust ng Risk Steward ang mga WETH interest rate model sa Arbitrum, Base, Mantle, at Linea bandang 14:30 UTC noong Abril 19, binawasan ang Slope 2 sa 1.50 porsiyento at ibinaba ang borrow rate sa 100 porsiyentong utilization mula sa pagitan ng 8.5 at 10.5 porsiyento tungo sa 3.0 porsiyentong APR. Isang katumbas na adjustment ang ipinatupad sa Core bandang 05:00 UTC noong Abril 20, kung saan itinakda ang Slope 1 sa 2 porsiyento, Slope 2 sa 3 porsiyento, at ang optimal utilization sa 94 porsiyento.

Pina-freeze rin ng Protocol Guardian ang WETH sa Core, Prime, Arbitrum, Base, Mantle, at Linea bandang 02:00 UTC noong Abril 20 upang pigilan ang bagong paghiram at mapigil ang potensyal na stress na kumalat sa mga stablecoin reserve.

Ang 2 Senaryo

Ang dalawang senaryo na minodelo ng pagsusuri ng Llamarisk ay sumasalamin kung paano matutukoy ng desisyon ng Kelp sa paglalaan ng pagkalugi ang pinal na exposure ng protocol. Ipinapalagay ng Senaryo 1 ang pantay-pantay na pagpo-pool ng 112,204 unbacked rsETH sa buong rsETH supply, na magreresulta sa 15.12 porsiyentong depeg at tinatayang $123.7 milyong bad debt, kung saan sasalo ang Ethereum Core ng $91.8 milyon sa absolutong termino at haharap ang Mantle sa 9.54 porsiyentong kakulangan sa WETH reserve.

Tinatrato ng Senaryo 2 ang pagkalugi bilang naka-isolate sa L2 rsETH lamang, na nag-aaplay ng 73.54 porsiyentong haircut sa collateral sa mga remote chain habang iniiwan na ganap na buo ang rsETH sa Ethereum mainnet, na magbubunga ng tinatayang $230.1 milyong bad debt na nakasentro sa Mantle na may 71.45 porsiyentong WETH shortfall at sa Arbitrum na may 26.67 porsiyento.

Ang kasalukuyang balanse ng adapter ay nasa 40,373 rsETH, ang tanging kumpirmadong backing para sa lahat ng remote-chain rsETH sa bawat L2 path, laban sa kabuuang remote claims na 152,577 rsETH. Hindi pa pampublikong kinukumpirma ng Kelp kung paano ilalaan ang mga na-recover na pondo.

Noong Abril 20, 2026, sinabi ng ulat na ang Aave DAO treasury ay may hawak na $181 milyon sa mga asset, kabilang ang $62 milyon sa mga holding na naka-ugnay sa Ethereum, $54 milyon sa AAVE, at $52 milyon sa stablecoins. Nakalikha ang DAO ng $145 milyon na kita noong 2025 at $38 milyon year-to-date noong 2026. Kinumpirma ng Llamarisk na may ilang indikatif na commitment mula sa mga kalahok sa ecosystem na nakahanda na upang tugunan ang mga posibleng senaryo ng bad debt.

Ang mga WETH reserve sa Ethereum, Arbitrum, Base, Linea, at Mantle ay nasa 100 porsiyentong utilization, na may idle balances na mas mababa sa $20 sa bawat chain. Sa full utilization, aWETH ang natatanggap ng mga liquidator sa halip na underlying WETH, na nagpapabagal sa throughput ng liquidation.

Tinukoy sa ulat ng Llamarisk ang Base at Arbitrum bilang mga market na may pinakamaliit na buffer, kung saan ang mga unang liquidation ay na-ti-trigger sa pagbaba ng presyo ng WETH na 0.77 porsiyento at 1.77 porsiyento, ayon sa pagkakasunod, dahil ang mga posisyon ay tumatakbo sa health factors na nasa paligid ng 1.03.

Inirekomenda ng Llamarisk ang agarang pag-pause ng WETH Umbrella staking module sa ilalim ng Senaryo 1. Sa oras ng publikasyon ng ulat, 18,922 sa 23,507 na staked aWETH ang pumasok na sa unstaking cooldown.

Ang pag-pause ay haharang sa mga deposito, pag-withdraw, transfer, at slashing habang pinananatiling aktibo ang pamamahagi ng mga reward. Ang natitirang apat na rsETH-listed market—Ethereum Lido, MegaETH, Plasma, at Zksync—ay may hindi mahalagang mga balanse at walang bad debt. Labindalawang karagdagang Aave V3 market ang hindi naglilista ng rsETH at hindi apektado.