Эксплойт Kelp на $292 млн затрагивает залог rsETH в DeFi-кредитовании

Эксплойт Kelp на $292 млн вновь привлёк внимание к liquid restaking и обеспечению в DeFi-кредитовании после того, как злоумышленник якобы воспользовался мостом LayerZero, чтобы отправить подделанное сообщение и заминтить незабэканный rsETH. По отчётам, 116 500 rsETH (примерно 18% циркулирующего предложения) были выпущены на предварительно профинансированный кошелёк, при этом эквивалентного перемещения ETH с другой стороны не было. Злоумышленник затем депонировал незабэканный rsETH в Aave в качестве залога, чтобы занять реальный WETH и выйти. Хотя Aave не называли "взломанной", протокол, по данным, накопил около $196 млн безнадёжного долга, потому что rsETH был в белом списке как скоррелированное с ETH обеспечение. Рынок отреагировал быстро: TVL Aave упал примерно на 25% за день (до ~$20 млрд), общий DeFi TVL сократился примерно на $13 млрд, а AAVE упал примерно на 30%. В последующие дни после эксплойта Kelp на $292 млн несколько протоколов приняли меры по ограничению рисков. По сообщениям, из Aave были массовые снятия, и рынки rsETH заморозили на несколько часов. SparkLend и Fluid приостановили экспозицию по rsETH, а Lido приостановил earnETH, ссылаясь на риск, связанный с настройкой rsETH. Позднее обновление подчеркнуло, как сложно отслеживать каскадное распространение рисков. Один аккаунт заявил, что более $6,2 млрд покинули Aave в течение 36 часов, утверждая, что протоколы испытывают трудности с картированием косвенных путей "yield stacking" через мосты, restaking и механики ликвидации в реальном времени. Та же аналитика также критиковала дизайн моста за зависимость от 1-из-1 верификатора, создавая потенциальную единую точку отказа. Для трейдеров ключевой вывод по эксплойту Kelp на $292 млн: APY может скрывать межпротокольные и межмостовые риски — что повышает планку для проверки качества залога и допущений по ликвидности/выходу у позиций, связанных с LRT.