Orijinal Başlık: Kelp DAO'nun rsETH üzerindeki İstismarı, Aave'i karşı karşıya bıraktı

Yazar: Gianmarco Marzotto
Çeviri: Peggy, BlockBeats

Editör Notu: 18 Nisan'da, yaklaşık 116,500 rsETH'in anormal bir şekilde transfer edilmesi, DeFi'yi beklenmedik bir stres testine soktu. Çalınan varlık kısa sürede Aave v3'e akarken, büyük miktarda WETH borç almak için teminat olarak kullanıldı, bu da aslında stabil çalışan borç verme sisteminin hızla baskı altına girmesine neden oldu: ETH havuzunun kullanım oranı %100'e kadar yükseldi, potansiyel batık tutar 2 milyar doları aşarken, fonlar birkaç saat içinde büyük ölçüde çekildi ve likidite krizi ortaya çıktı.

Tüm görünüşe rağmen, bu sadece başka bir köprü saldırı olayı gibi görünse de; daha derinlemesine sorun, bu saldırının Aave'in kendi kodu içinde değil, görünüşte güvenli bir dış teminat varlığı aracılığıyla gerçekleşmesidir. rsETH'in köprüleme, yeniden teminatlandırma ve yönetişim zinciri süreçlerindeki başarısızlığı, ekonomik olarak teminatın geri çevrilemez hale gelmesine neden oldu ve bu değişiklik borç alma sistemine gecikmeli bir şekilde yansıdı, sonunda protokolün ödeme kabiliyetine doğrudan bir saldırıya dönüştü.

Bu makaleye göre, DeFi'nin risk yapısı değişiyor. Bir protokolün güvenli olup olmadığı artık sadece "sözleşmenin açık bir güvenlik açığı olup olmadığı" sorusu değil, aynı zamanda "kabul ettiği teminatın arkasındaki tüm teknik ve yönetişim bağlantılarının güvenilir olup olmadığı" sorusudur. Likidite teminatı, yeniden teminatlandırma ve köprüleme altyapıları katmanlaştıkça, herhangi bir halka kırılması, teminat zinciri aracılığıyla sistemik bir etkileşime dönüşebilir.

Sonuç olarak, bu tipik bir "gelir yutmalar" olayıdır: düşük riskli bir yeniden teminat getirisi, bir günde likidite tükenişi ve batık maruziyetine dönüşmüştür. Aave için bunu bir yönetişim ve risk yönetimi gerçek sınavı yaparken; tüm DeFi ekosistemi için, bu belki de daha net bir uyarıdır - son derece birleştirilebilir bir sistemde, risk asla kaybolmamıştır, yalnızca yeniden dağıtılmış ve ertelemeli olarak ortaya çıkarılmıştır.

Aşağıda orijinal metin yer almaktadır:

Giriş: rsETH Artık "Sıfır Risk" Günü Değil

18 Nisan 2026 tarihinde, DeFi, "teori" ile "gerçeklik" arasındaki mesafeyi tamamen açan bir an yaşadı: Kelp DAO'nun rsETH köprüsü kullanılarak yaklaşık 116,500 rsETH (yaklaşık 2.92 milyar ila 2.93 milyar dolar) saldırıya uğradı ve bu, bu yılın şu ana kadarki en büyük DeFi hack olayı haline geldi.

Bu çalınan jetonlar orijinal yerinde kalmadı, bunun yerine hızla Aave v3'e aktarıldı, teminat olarak kullanıldı ve WETH borç alındı. Bu işlem doğrudan likidite krizine yol açtı ve protokolde 170 milyon ila 200 milyon doların üzerinde bir kötü borç oluşturdu.

Geçmişteki birçok saldırı olayının aksine, bu sefer Aave'nin kendi kodunda bir güvenlik açığı yoktu. Sorun "dışarıdan" geldi - güvenilir bir teminat varlık fiyat kaynağı, kısa bir süre içinde güvenilirliğini kaybetti.

Bu makale, bu olayın belirli gelişim yolunu açıklamak, neden bunun bir likidite krizi olduğunu ve Aave seviyesinde bir güvenlik açığı yerine neden olduğunu ve giderek daha fazla birbirine bağlı DeFi ekosistemi içinde, bu olayın risk yönetimi açısından ne anlama geldiğini tartışacaktır.

Kelp DAO ve rsETH Nedir (ve Neden Aave Tarafından Beğenildiler)

Kelp DAO, likidite yeniden teminatlaması protokolüdür, kullanıcıların ETH'yi ve çeşitli likidite teminat jetonlarını (örneğin stETH, cbETH vb.) EigenLayer'da yeniden teminatlandırılan altta yatan varlığa rsETH adı verilen bir likidite jetonuna dönüştürmelerine izin verir.

Dolayısıyla, rsETH'nin değeri, yeniden teminatlam sistemine kilitlenmiş bir varlık sepetinden gelir. Bu altta yatan varlıkların kendisinin likiditesi sınırlı olsa da, rsETH jetonu hala DeFi ekosistemi genelinde serbestçe dolaşabilir, teminat olarak kullanılabilir veya çeşitli getiri stratejilerine katılabilir.

Aave gibi bir borç alma protokolü (para piyasası) bakış açısından, rsETH "teorik olarak" neredeyse mükemmel bir teminat olarak kabul edilir: İyi bir teminat desteğine sahiptir, ek getiri kaynaklarına sahiptir ve EigenLayer gibi "mavi cips" ekosisteminde gömülüdür. Bu nedenle rsETH, Aave v3 ve v4 piyasalarında işlem görmüş ve kullanıcıların bunu teminat olarak kullanarak daha likit varlıklar (örneğin WETH) ödünç almalarına izin verilmiştir.

Ancak bu entegrasyon aynı zamanda risk paradigmasında bir değişikliğe yol açtı: Aave'nin ETH tarafındaki ödeme kapasitesi, artık yalnızca iç protokol tasarımına ve güvenliğine dayanmamakta, aynı zamanda dış bileşenlere - kapsamlı rsETH desteğini sağlayan çapraz zincir köprülerin işletme güvenliğine ve teknik yığınını destekleyen tekrar teminatlama teknolojisine de bağlı hale gelmiştir.

Saldırı Yolu: Kelp'in Çapraz Zincir Köprüsünden Aave v3'e

On-chain ilk analizine ve çeşitli kripto medyası raporlarına göre, bu olayın başlangıcı, LayerZero tabanlı rsETH köprüsü olan Kelp DAO'dan kaynaklanmaktadır.

Saldırgan, adapter/bridge'den yaklaşık 116,500 rsETH çalmak suretiyle, köprüdeki (EndpointV2 içindeki lzReceive) çapraz zincir ileti mekanizmasındaki bir açıktan yararlandı, ki bu da saldırı anında yaklaşık 2.92 milyar ile 2.93 milyar dolar arasında bir büyüklüğe denk gelmektedir.

Bu tokenleri elde ettikten sonra, saldırı stratejisi ekonomik açıdan oldukça "rasyonel" idi:

· rsETH'yi Aave v3'e teminat olarak yatırmak

· Bu pozisyon üzerinden mümkün olduğunca çok WETH borç almak (rsETH o sırada protokol tarafından hala tam teminat olarak kabul edildiği için)

· Borç alınan WETH'i transfer etmek veya nakde çevirmek, gerçek likidite değerini elde etmek

· Riski Aave ekosistemi içinde bırakmak, teminat varlığının değerinin sonrasında çökmesini beklemek

Kelp DAO'nun anormallik fark etmesinin ardından, bu saldırıyı araştırmak amacıyla ana ağı ve birçok L2 üzerinde rsETH sözleşmelerini hızla askıya alarak, rsETH'nin normal dolaşımını ve çekme yolunu esasen durdurmuş oldu.

Aynı zamanda Aave, rsETH ve wrsETH piyasalarını acil bir şekilde v3 ve v4'te askıya aldı ve akıllı sözleşmelerinin hala sağlam olduğunu, sorunun sadece bu tek varlığa özgü olduğunu vurguladı.

Fakat asıl sorun şudur: Şu anda teminat olarak kullanılan rsETH'nin, ekonomik düzeyde artık "başarısız" olmuş olmasıdır.

Çapraz zincir köprüsü boşaltıldı, çekme yolu belirsiz hale geldi, fiyat keşif mekanizması karma karışık hale geldi - ve daha önce bu teminatın temelinde borç alınan WETH hala fiziksel olarak mevcuttur.

Aave'deki Likidite Krizi: Kullanım Oranı Zirveye Ulaşırken ve "Dokuz Rakamlı" Kötü Borçlar

Kelp DAO'nun rsETH'ye getirdiği askı, bu tokeni teminat olarak kullanan pozisyonların düzenli bir şekilde tasfiye edilememesine yol açtı. Daha spesifik olarak, bu teminatlarla ilişkilendirilen WETH borçları, rsETH'nin tasfiyesiyle artık yeterli değeri geri alamaz hale geldi, protokolün bu pozisyonlara yönelik olarak varsayılan durumda geçerli olan "son çare temizleyici" mekanizması bu pozisyonlarda başarısız olmuştur.

İlk tahminlere göre:

· Yaklaşık 116,500 rsETH Aave v3'e çalındı ve yatırıldı

· Bu pozisyonlarla doğrudan ilişkili olan WETH borcu tahmini olarak 177 milyon ile 236 milyon dolar arasında

· Diğer protokollere ait etkileşimli pozisyonlar da dikkate alındığında, potansiyel kötü borç büyüklüğü yaklaşık 200 milyon dolara kadar çıkabilir

·Aave'nin ETH Likidite Havuzu Oranı bir ara%100'e çıktı ve kullanıcıların çekim yapabileceği neredeyse hiç likidite bulunmuyordu (ön çekim yapmadıkça)

Bu durum panik yarattı: Kısa bir süre içinde Aave'den 54 milyar doların üzerinde çıkış yaşandı, bunun 1.5 milyar dolarından fazlası Justin Sun'dan geldi, bu protokoldeki önemli bir büyük katılımcıdan biri.

Aave'nin Toplam Değeri Kilitli (TVL) miktarı yaklaşık 458 milyar dolar düzeyinden çok kısa bir sürede 357 milyar dolara düştü ve AAVE token'ı bir günde %17 ila %20 arasında değer kaybetti.

İronik bir sonuç, stabilcoin veya diğer varlıkları borç veren kullanıcılar için getirinin artması oldu—kullanılabilir fon eksikliği nedeniyle stabilcoin mevduatının yıllık getirisi (APY) yaklaşık %13-%14'e kadar yükseldi, bu da piyasanın "kriz moduna" geçtiğinin tipik bir işaretiydi.

Bu Olayın Zincir Üstü Risk Yönetimi Üzerindeki Etkileri

rsETH–Kelp DAO–Aave Olayı sadece sıradan bir saldırı değil, aynı zamanda yüksek derecede bileşik DeFi finansal sistemde, riskin nasıl bir protokolden diğerine aktarılabileceğini gözler önüne seren tipik bir örnek gibiydi.

Bazı önemli sonuçlar şunlardır:

Borç Verme Protokolleri İzole Bir Şekilde Var Olmaz
Aave'nin akıllı sözleşmesi doğrudan ihlal edilmemiş olsa bile, rsETH'yi rehin olarak kabul etmesi, dışsal risklere doğrudan maruz kalınması anlamına gelir—bu, çapraz zincir köprüsünün işletme güvenliği ve arkasındaki yeniden teminatlama sisteminin yanı sıra.

'Geri Çekilebilirlik' Çöktüğünde, Oracle Fiyatlaması Yeterli Değil
Zincir üstü fiyatlar formel olarak hala 'geçerli' olsa da, bir varlık geri çekilebilirlik veya likidite yeteneğini kaybettiğinde (örneğin duraklama, saldırı veya dondurma nedeniyle), ekonomik olarak artık uygun bir rehin olmaz. Risk yönetimi, altyapının bütünlüğünü ve yönetim faktörlerini fiyat boyutundan öteye taşımalıdır.

Acil Durum Durdurma Mekanizması İkili Bir Kılıçtır
Kelp DAO, rsETH sözleşmesini dondurmak, saldırıyı kontrol altına almak açısından mantıklı olabilir, ancak Aave için sorunu daha da kötüleştirdi: Rehinatın hareket etmemesi, tasfiyeyi daha da zorlaştırdı.

'Dağınık Rehinat', Sistematik Risk Yoğunlaşmasına Dönüşebilir
Her yeni LRT, LST veya karmaşık türetilmiş varlık, yeni risk kaynakları getirecektir. Bu varlıklar bir kez Aave, Compound, Euler gibi birçok protokol tarafından rehinat olarak kabul edildiğinde, bir çapraz zincir köprü saldırısı bütün ekosistemde zincirleme tepkilere neden olabilir.

Şu an için zincir üstü risk yöneticileri için bu olay temelde bir "şablon" haline geldi: Söz konusu "teminat beyaz listeleme (collateral whitelisting)" artık yalnızca fiyat dalgalanmasını değerlendirmekle kalmıyor, aynı zamanda bu varlığı destekleyen bütün teknik tedarik zincirinin karmaşıklığını ve kırılganlığını ölçmek gerekiyor.

Öngörü: rsETH Olayından Sonra Aave (ve DeFi) Nasıl Değişebilir?

Saldırıdan birkaç saat sonra, Aave ekibi ve Guardian, fon havuzunun normal işlediğini ve bu olayın yalnızca rsETH ile ilgili varlıklarla ilgili olduğunu ve Kelp, LayerZero ve diğer ilgili taraflarla iş birliği yaparak etkileri en aza indirmeye çalıştığını teyit ettiler.

Ancak gerçek çalışma şimdi başlıyor: Kötü kredi nasıl ele alınacak, Safety Module / Umbrella mekanizmasının etkinleştirilip etkinleştirilmeyeceği ve varlık listeleme stratejisinin nasıl güncelleneceği gibi konular yönetişim açısından önemli stres testlerine dönüşecek.

Bu olayın hızlandırabileceği bazı alanlar şunları içerebilir:

· LRT / cross-chain varlıklar için daha korumacı listeleme parametreleri: Daha düşük LTV, daha sıkı kredi limitleri ve çoklu düzeyli denetim gereksinimleri ve özel olarak cross-chain saldırı senaryolarına karşı baskı testleri yapılması.

· Köprü riski ve restaking stack risk gibi "cross-chain bridge risk" ve "re-staking system risk" hassasiyetini ölçmek için nicel bir çerçeve oluşturma, benzer şekilde mevcut fiyat dalgalanması ve varlık ilişkiselliği modellemesine.

· Teminat varlıklarının yoğunlaşma sorununa daha fazla vurgu yapmak: Sadece tek bir varlık üzerinde sınırlama koymak yerine, "risk kategorisi" bazında sınırlamalar getirilmesi (örneğin, aynı LRT sağlayıcı veya aynı mesaj altyapısından türetilen varlıklar).

· Güvenlik modülü rolünün evrimini teşvik etme: AAVE teminatı, sigorta havuzu ve destek fon havuzu gibi, "son savunma hattı"ndan günlük sistemik risk yönetiminin bir parçası haline gelme.

Herhangi bir kullanıcı için, bu olay aynı zamanda net bir sinyal gönderdi: Karmaşık kombinasyonlarda tokenleri teminat olarak kullanmak gerçekten getiriyi artırabilir, ancak aynı zamanda genellikle göz ardı edilen bir dizi riske maruz kalınması anlamına gelir—bu da köprü açığı riski, restaking yönetişim sorunları ve yukarı doğru protokol acil durum durdurma mekanizmasıdır.

DeFi Getirisi Hakkında Bir Hatırlatma

rsETH'nin bu saldırısı Aave'nin kodlarını kırmadı, ancak teminat karmaşıklığı, yeniden teminat ve cross-chain köprü yapısına dayandığında, borç alma protokolünün dışsal şoklara hassasiyeti belirgin bir şekilde artar.

Son birkaç ay boyunca "risk-free" gibi görünen getiriler, bir gün içinde 100 milyar doların üzerinde fon çıkışına ve yaklaşık 2 milyar dolarlık potansiyel kötü senet krizinden kaynaklanan likidite krizine dönüştü.

Eğer temel bir ders çıkarılacaksa, o da şudur: DeFi'de, getiri her zaman riskin bir fiyatlandırmasıdır - sadece, ilk sistemik olayın meydana gelmeden önce, bu risk genellikle yanlış değerlendirilir.

[Orijinal Makale Bağlantısı]

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia