Kelp:s $292M-exploit slår mot rsETH-säkerhet i DeFi-lån

Kelp’s $292M-exploit har återuppväckt granskningen av likvid återinsättning (liquid restaking) och DeFi-lånekollateral efter att angriparen enligt uppgift använde en LayerZero-bro för att skicka ett manipulerat meddelande och mynta obackad rsETH. Rapporter säger att 116 500 rsETH (ungefär 18% av cirkulerande utbud) frigjordes till en förfinansierad plånbok, utan motsvarande ETH-rörelse på andra sidan. Angriparen deponerade sedan den obackade rsETH på Aave som säkerhet för att låna riktig WETH och dra sig ut. Aave beskrivs inte som "hackat", men protokollet fick enligt rapporter cirka 196 miljoner dollar i dåliga fordringar eftersom rsETH var vitlistat som korrelerad ETH-säkerhet. Marknadseffekter följde snabbt: Aaves TVL sjönk med cirka 25% på en dag (till omkring ~20 miljarder dollar), den bredare DeFi-TVLen föll med cirka 13 miljarder dollar och AAVE föll enligt rapporter med ~30%. Dagarna efter Kelp’s $292M-exploit vidtogs flera protokoll åtgärder för att begränsa risk. Aave upplevde stora uttag och frös rsETH-marknader i flera timmar. SparkLend och Fluid pausade rsETH-exponering, och Lido pausade earnETH med hänvisning till rsETH-relaterad setup-exponering. En senare uppdatering betonade hur kaskadexponering kan vara svår att spåra. Ett konto hävdade att över 6,2 miljarder dollar lämnade Aave inom 36 timmar och argumenterade för att protokoll har svårt att kartlägga indirekta "yield stacking"-vägar över broar, restaking och likvidationsmekanismer i realtid. Samma analys kritiserade bridge-designen för att förlita sig på en 1-av-1-verifierare, vilket skapar en potentiell enskild felpunkt. För tradare är kärninsikten från Kelp’s $292M-exploit att APY kan dölja tvärprotokoll- och tvärbro-risk—vilket höjer kraven på kollateralkvalitetskontroller samt likviditets-/utgångsförutsättningar för LRT-länkade positioner.