2026年4月18日凌晨，KelpDAO 攻击事件发生几个小时后，Solidity 开发者 0xQuit 在 X 上发了一条帖子。

「希望我能带来更好的消息，但 Aave 上的 WETH 似乎完蛋了。如果可以的话就撤回，但可能已经太晚了。在 Umbrella 结算后，正常存款应该可以部分提取。这对 DeFi 愿景是一个巨大的打击。」

这条帖子发出的时候，Aave 的创始人 Stani Kulechov 刚刚在同一平台发出了另一条声明：rsETH 已被冻结，Aave 的智能合约「未受损」，问题出在 Kelp DAO 那边。两条帖子在同一个时间线上并排滚动。

两条帖子说的都是事实。但它们在回答不同的问题。Stani 回答的是谁动了代码，0xQuit 回答的是谁要承担后果。

答案是：什么代码都没有被动。而后果，落在了每一个在 Aave 存入 WETH、以为自己只是在赚一点利率的人身上。

攻击发生之前的六个月里，Aave 的治理系统批准了每一个让这件事成为可能的决定。没有人破解了什么代码。有人用了一套被批准的规则，让协议按照设计好的方式崩塌。这件事值得从头说清楚。

十二天

4月6日，Chaos Labs 创始人 Omer Goldberg 在 X 上发帖宣布，Chaos Labs 与 Aave DAO 的合作将正式结束。

过去三年，Chaos Labs 主导了 Aave 的风险参数管理。这期间，Aave 的 TVL 从52亿美元增长到超过260亿美元。每一亿美元的增长背后，都有 Chaos Labs 的模型在测算边界：哪个参数能推，哪个不能动。

Goldberg 给出了三个离职理由。一是风险策略上的「根本性分歧」，尤其是 Aave V4 引入新架构后。二是 V4 带来的运营复杂度显著增加，但资源补偿没有跟上。三是即使在500万美元的预算方案下，Chaos Labs 仍然处于亏损状态，经济上不可持续。

「Bu işbirliği artık risklerin nasıl yönetilmesi gerektiğine dair düşüncemizi yansıtmıyor,」 diye yazdı.

Aave tarafındaki yanıt hızlı geldi. Stani Kulechov, protokolün operasyonları durdurmayacağını, risk yönetimi kuruluşu LlamaRisk'in tüm sorumluluğu devralacağını belirtti, 「çift katmanlı risk yönetim sistemi devam edecek」. LlamaRisk hemen bir açıklama yaparak 「tam iş sürekliliği」 taahhüt etti ve bir hafta içinde Aave DAO'ya resmi bir yenileme önerisi sundu. Dışarıdan bakıldığında, bu düzenli bir devir gibi görünüyordu.

Üç gün sonra, 9 Nisan'da, LlamaRisk, yeni risk yöneticisi olarak ilk rutin ayarlamaları yaptı: rsETH'nin Aave V3 ana ağdaki borç verme limitini 48 bin adetten 53 bin adete yükseltti. Karar, zincir üstü veriler, sağlıklı kredi kullanımı, yeterli likidite, ve pozisyon konsantrasyonunun eşik değerler içinde olduğu göz önünde bulundurularak alındı. Herhangi bir anormallik belirtilmedi.

Dokuz gün sonra, 18 Nisan 17:35 UTC'de, saldırgan Ethereum ana ağında LayerZero'nun EndpointV2 akıllı kontratını çağırarak, Kelp DAO'nun rsETH köprü kontratına sahte bir cross-chain veri paketi iletti. Köprü kontratı, bu mesajın sahte olduğunu tanıyamadı. 116,500 adet rsETH saldırganın kontrolündeki bir adrese aktarıldı.

Kırk altı dakika sonra, Kelp DAO'nun acil durdurma mekanizması devreye girdi ve saldırganın devam eden iki ek hırsızlık denemesini engelledi, bu iki deneme toplamda yaklaşık 100 milyon dolar değerindeydi. Ancak, ilk saldırıdan çalınan miktar geri alınamadı. Saldırganın hedefi yaklaşık 390 milyon dolar idi, ve bunun üçte dördünü elde etti.

Durdurma mekanizması devreye girdiğinde, saldırgan zaten çaldığı rsETH'leri Aave V3'e teminat olarak yatırmış, büyük miktarda WETH ve ETH borç almıştı. Saldırı haberinin yayılmasının ardından rsETH'nin piyasa fiyatı hızla düşmeye başladı, teminatın değeri bu kayıpla birlikte eridi. İlk başta teknik olarak geçerli olan pozisyonlar, tasfiye edilemez hale geldi. Bunun sonucunda bir takım kötü krediler oluştu.

O Yazılmamış Dosya

19 Ocak 2026 tarihinde, Aave topluluğu 434 numaralı yönetişim önerisini kabul etti. Önerinin merkezinde, WETH'in rsETH'nin LST E-Mode'a eklenmesi ve aynı mod altında rsETH'nin maksimum kredi değer oranının %92.5'ten %93'e yükseltilmesi yer aldı. Rakamsal değişiklik küçük olsa da, anlamı oldukça açıktı, kullanıcılar Aave'de 100 dolarlık rsETH ile 93 dolarlık WETH borç alabilecekti.

Bu öneriyi destekleyen ACI'dir (Aave Chan Girişimi, Aave'nin merkezi yönetim hizmeti sağlayıcısı). Öneri metninde beklenen şu şekilde belirtilmiştir: rsETH/WETH döngü stratejisini tanıtarak, protokoldeki boşta kalan ETH likiditesini absorbe ederek, "rsETH'ye milyarlarca dolarlık giriş" getirmesi beklenirken aynı zamanda WETH havuzunun kullanım oranının optimal aralığa geri dönmesi beklenmektedir.

Öneride başka bir neden de vardır ve daha doğrudan ifade edilmiştir, ezETH, weETH ile "düz rekabeti sürdürmek" için. Rakip LRT varlıkları Aave'de benzer parametrelere sahip olduğuna göre, rsETH de uyumlu olmalıdır.

Bu DeFi'de oldukça yaygın bir karar verme mantığıdır, rekabetçi benzetme olarak adlandırılır. Rakibinizin ne aldığına göre, sizin de ona sahip olmanız gerekir, aksi takdirde likidite akar. Sermaye verimliliğini ararken, bu mantık neredeyse kusursuzdur. Ayrıca içsel bir tek yönlü baskıya sahiptir, parametreleri yalnızca yüksek çekebilir, düşük itemez. Parametreleri sıkılaştırmak isteyen herhangi bir öneri, "rekabet gücünü zayıflatma" etiketiyle adlandırılır. Sonuç olarak, tüm endüstri aynı yöne doğru kayar ve kimse nereye kaydığını sormaz.

434 numaralı önerinin yönetim belgesini açtığınızda, bulamadığınız bir şey var: "rsETH'nin LTV'si%93'e yükseltilebilir mi?" sorusuna yönelik özel bir risk değerlendirme raporu. LlamaRisk, 2024 yılında rsETH'nin ilk kez listelendiği Kasım ayında, rsETH'nin Aave'ye eklenebilirliğini değerlendiren kapsamlı bir teminat risk değerlendirmesi sunmuş, rsETH'nin getiri biriktirme mekanizması, akıllı sözleşme yapısı ve likidite özelliklerini analiz etmişti. Ancak o rapor "rsETH'nin Aave'ye eklenebilirliğine" cevap vermişti. 434 numaralı öneri, LTV'yi %93'e çıkardığında, yönetim belgesindeki dayanak, yatay benzetme ve protokol geliri beklentisidir.

rsETH'yi kabul eden diğer iki DeFi protokolü farklı cevaplar verdi, SparkLend'e göre rsETH için belirlenen LTV %72, Fluid protokolü, sabit minimum teminat oranını, yaklaşık %75'lik bir LTV'ye karşılık gelecek şekilde kullanmaktadır. Bu iki protokol de saldırı gerçekleştiğinde, rsETH piyasasının dondurulmasını birkaç saat içinde tamamladılar. Aave'nin oranı ise %93'tür. Bu ekstra %21 puanlık fark, rekabet avantajı sağlamaktadır.

6 Nisan'da, Chaos Labs, Aave Risk Yönetiminden çekildiğini duyurdu. 9 Nisan'da, yeni devralan LlamaRisk, rsETH'nin arz sınırını 48.000 adetten 53.000 adede yükselten bir Risk Sorumluları ayarlama önerisi sundu. Sebep, on-chain verilerin sağlıklı olması, kullanım oranının normal olması, likiditenin yeterli olması ve pozisyon konsantrasyonunun kabul edilebilir aralıkta olmasıydı. Tüm ölçütler on-chain'den elde edildi.

İşte zincirdeki bu metrikler, rsETH'nin Aave içindeki dolaşım durumunu kaydeder, kaç kişinin kullandığını, riskin ne kadar dağıldığını, likiditenin yeterli olup olmadığını gösterir. Bu metriklerin kapsamadığı şey ise: rsETH'nin Aave'ye gelmeden önce hangi köprüyü geçtiğidir.

Anlaşılmayan Bir Alarm

2022'nin 10 Mart'ı sabahı, Ethereum zincirinde olağandışı bir tasfiye işlem grubu göründü. Teminat olarak wstETH kullanan 34 yüksek kaldıraçlı pozisyon, herhangi bir uyarı olmaksızın sırayla tasfiye seviyesini tetikledi. Kullanıcılar henüz tepki veremezken, tasfiye robotu operasyonunu tamamladı.

Tetikleyen neden, Aave'nin CAPO Oracle sisteminde bir yapılandırma hatasının meydana gelmesiydi, bir hata ayarı kaydıyla anlık oran çekişkenlikleri arasındaki tutarsızlık wstETH için bildirilen fiyat yaklaşık 1.1939 iken, gerçek piyasa döviz kuru yaklaşık 1.228 idi. Sapma %2.85'ti ve normal koşullarda neredeyse ihmal edilebilir.

Ancak E-Mode ortamında, %2.85'lik bir fiyat düşüşü, 34 yüksek kaldıraçlı pozisyonu tasfiye seviyesinin üzerine itmek için yeterli oldu ve yaklaşık 27 milyon dolarlık yanlış tasfiye kaybına neden oldu. Chaos Labs'in Edge Risk sisteminde yapılan öneriden BGD'nin AgentHub'ında uygulanmasına ve ardından tasfiye robotunun operasyonunu tamamlamasına kadar tüm zincir, birkaç dakika içinde tamamlandı. İnsan müdahalesine zaman bırakılmadı.

Sonrasında, Chaos Labs bir analiz raporu yayınladı. Sonuç, "Bu olayın altta yatan CAPO veya off-chain risk Oracle tasarımındaki bir kusuru yansıtmadığı, ancak zincirdeki farklı güncelleme kısıtlamaları altında yapılandırma hatası nedeniyle anlık oran ve zaman damgası arasında tutarsızlık oluştuğu" idi.

Yapılandırma sorunu, tasarım sorunu değildi. Beklenmedik olay, uyarı değildi.

Aave, etkilenen kullanıcılara tazminat sağlamak için geri alım fonları ve DAO hazinesinden yönetim önerileri aracılığıyla hareket etti. Olay bu şekilde kapatıldı. Daha sonra bir endüstri raporu, "Bu olayın meydana gelmesine rağmen, Aave'nin genel mevduat ve borcu 2026'nın başında istikrarlı kalmış ve protokolün temel tasarımına olan güvenin önemli ölçüde azalmadığı" sonucuna vardı.

Altı hafta sonra, "temel tasarım" terimi bir büyüklük düzeyi değişimine uğrayacak ve başka bir testten geçecektir.

Fatura Geldi

Saldırıdan yaklaşık bir saat sonra, Stani Kulechov X'te vurgulayarak, Aave'nin akıllı sözleşmesinin "zarar görmediğini" belirtti. Bu, teknik düzeyde hiçbir sorun olmadığını, hiçbir kodun çözülmediğini, hiçbir özel anahtarın çalınmadığını, sözleşmenin belirlendiği şekilde tam olarak çalıştığını gösteriyordu.

Sorun işte burada ortaya çıkıyor. rsETH'nin bir saldırı sonucu çıkış yapması ve değerinin hızla düşmesi durumunda, E-Mode'un "yüksek derecede ilişkili" tasarımı ters yönde çalışır: sistem, büyük ölçüde değer kaybetmiş rsETH'yi hala geçerli bir teminat olarak görür ve ödünç verilen WETH ve ETH normal şekilde likide edilemez. Sermaye verimliliğini artırmak için tasarlanan mekanizma, aşırı durumlarda kötü borcu kilitleyen bir kilitle dönüşür.

Kötü borcun tahmini büyüklüğü 177 milyon ile 200 milyon dolar arasında (Phemex, Yahoo Finance vb. çeşitli kaynaklara göre), saldırganın açtığı borç pozisyonları toplam tutarı 236 milyon doları aşıyor (CryptoBriefing'e göre). 116,500 rsETH teminatı ile, %93 E-Mode LTV altında en fazla 272 milyon dolar değerinde WETH ödünç alınabilir. Standart %72 LTV'nin sınırından yaklaşık 62 milyon dolar daha fazla olan bu miktar, E-Mode'un güvenlik tamponunu %28'den %7'ye sıkıştırdı ve hafif bir fiyat dalgalanması bile pozisyonun kontrolden çıkmasına neden olabilir.

Aave, bu tür durumlar için özel olarak tasarlanmış bir güvenlik mekanizması olan Umbrella'ya sahiptir. Kullanıcılar, aWETH'lerini Umbrella'nın güvenlik havuzuna ek getiri karşılığında depozito yapabilirler; protokol zarar açığa çıktığında, bu varlık otomatik olarak kaybı karşılamak için imha edilir ve herhangi bir yönetişim oyu müdahalesine gerek kalmaz. Bu mekanizmayı seçen kullanıcılar genellikle mekanizma tasarımını anlayan, ana paralarını daha yüksek bir getiri oranıyla değişime hazır olan ve aynı zamanda protokolün destekçileri olarak hareket etmeyi kabul eden kişilerdir. Umbrella, 2025'in sonlarına doğru piyasaya sürüldü ve eski SMM'nin yerini aldı; bu, onun resmi olarak karşı karşıya kaldığı ilk gerçek testtir.

Umbrella'da yaklaşık 50 milyon dolarlık WETH, kayıpları absorbe etmek için kullanılabilir (Forbes'a göre). Kötü borcun büyüklüğü 177 milyon ila 200 milyon dolar arasında. İki rakam arasındaki fark, yaklaşık 127 ila 150 milyon dolar arasındadır.

Bu kısmın yükü teminat olmayan normal WETH mevduat sahipleri tarafından taşınmaktadır. Aave resmi belgelerinde Umbrella mekanizmasını tanımlarken, "Teminatlanan varlık imha edildikten sonra, ‘kalan WETH arzı sağlayıcıları kısmi çekimde bulunabilmelidir, ancak tamamen geri kazanım garanti edilmez, mevduat sahipleri kesintiye uğrayabilir’ ifadesi yer almaktadır. ‘Kesinti’ terimi bir miktar ana paranın kaybedilmesini ifade eder.

Saldırı gecesi, Marc Zeller sesini duyurdu. Kendisi ACI'nın kurucusu olup aynı zamanda Öneri 205 ve 434'ün başlıca savunucusudur ve bu yıl Temmuz ayında Aave'den ayrılacaktır. O, dış dünyanın kötü borç miktarıyla ilgili "aşırı tahminlerini" reddetti ve gerçek rakamın "o sayıdan çok daha düşük" olduğunu belirtti ve kullanıcıları Aave V3'ten WETH çekmeye çağırdı. Ayrıca, "bu olayın Şemsiye'yi etkili bir şekilde test edeceğini" ve sanki bu bir stres testiymiş gibi, kullanıcıların gerçek anlamda ana para kaybı yaşamadığı bir şeymiş gibi ekledi.

Aynı gün, AAVE jetonu %10,27 düşüşle 105,73 dolardan kapandı. Bu, kötü borç miktarının henüz belirlenmediği, çok sayıda WETH yatırımcısının Şemsiye hesaplama zaman damgasını beklediği bir sırada meydana geldi.

Sonuç

Atak gecesinde, 0xQuit'in o gönderisi geniş çapta paylaşıldı. Onu paylaşan kişilerin birçoğu Aave'in WETH yatırımcılarıydı. Onlar, o birkaç satırı defalarca okudular ve yayınlamadan önce. "Umbrella hesaplamasından sonra, normal yatırımlar kısmen çekilebilmelidir." "Kısmen" ne anlama geliyor? "Normal" ne demek? "Olası" kelimesi ne ifade ediyor?

0xQuit'in son sözü ise, "Bu, DeFi vizyonuna büyük bir darbedir." DeFi vizyonunda şöyle bir madde bulunmaktadır: Varlıklarınız, kurallarınız, kimse arkada sizin haberdar olmadan kararlar alamaz.

O kararlar, son altı ay içinde, yönetişim forumlarında öneri metinlerinde yapıldı. Saldırgan hiçbir şekilde kapıyı zorlamadı, hiçbir kod açığı başlangıçta bu sonucu kaçınılmaz yapmadı. "Verimlilik" için yapılan defalarca takip, "sinyal" in sürekli ihmal edilmesi ve kritik bir ara dönem, bu faturayı birlikte gönderdi. Yönetişimin bedeli, sonunda yönetişime katılmayan ve yönetimin yaşandığından haberi olmayan kişiler tarafından ödendi.

Kod, onaylanan şekilde çalıştı. Fatura, o onaylara katılmayan kişilere gönderildi.

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia