Aave запускает DeFi United для сбора 100 000 ETH и восстановления резервов rsETH после инцидента с Kelp

Крупнейшая в истории DeFi координированная мера поддержки сейчас реализуется. 23 апреля провайдеры Aave объявили о запуске инициативы «DeFi United» — кросс-протокольного фонда помощи с целью собрать 100 000 ETH для восстановления обеспечения rsETH после эксплойта моста Kelp DAO на сумму $292 млн, произошедшего 18 апреля. По данным на 24 апреля, уже собрано около 69 534 ETH (~$161 млн), список участников включает ключевых игроков инфраструктуры Ethereum.

Это не голосование DAO по компенсации индивидуальным пользователям. Это скоординированные действия отрасли, направленные на недопущение системного кризиса плохих долгов в крупнейшем кредитном протоколе DeFi, где размещены миллиарды средств пользователей.

Что произошло с Kelp DAO и почему это касается Aave

18 апреля в 17:35 UTC злоумышленник воспользовался мостом Kelp DAO на базе LayerZero и вывел 116 500 rsETH из эскроу-контракта в Ethereum на сумму ~$292 млн. Атака использовала простую уязвимость: мост был сконфигурирован с единственным верификатором (DVN), который подтверждал межсетевые сообщения. Злоумышленники скомпрометировали два RPC-узла, подающих данные этому верификатору, инициировали DDoS и обманули систему, заставив её принять фиктивное сжигание токенов на Unichain.

Подтверждённое ложное сообщение привело к выпуску 116 500 rsETH на адрес злоумышленника в сети Ethereum. Через 46 минут сработал аварийный стоп Kelp, что позволило заблокировать два последующих вывода ещё на ~$100 млн, но основная часть средств уже была утрачена.

Проблемы для Aave начались, когда злоумышленник внес 89 567 rsETH на Aave в качестве залога и занял ~$190 млн в WETH и wstETH на Ethereum и Arbitrum. Занятые активы были реальными ETH и токенами стейкинга, но залогом служили необеспеченные rsETH. В случае их ликвидации потери понесёт Aave, так как залог не обеспечен. По оценкам, убытки для Aave могут составить от $123 млн до $230 млн в зависимости от распределения дефицита между сетями.

Кто участвует в DeFi United и в каких объёмах

Главное отличие этой инициативы от предыдущих – её масштаб и коллективный подход. Ранее жертвы эксплойтов несли потери самостоятельно или полагались на добровольные сборы. Впервые несколько протоколов объединили ресурсы для компенсации ущерба стороннему проекту.

Крупнейший вклад – 25 000 ETH от Aave DAO при одобрении через управление. Структура вклада Mantle уникальна: не пожертвование, а заём под ставку стейкинга Lido +1% на три года и условием делегирования токенов управления. Личный вклад Кулечова (5 000 ETH) демонстрирует доверие основателя протокола к проекту.

Почему Arbitrum заморозил $71 млн отдельно

Пока формировался фонд DeFi United, Совет Безопасности Arbitrum заморозил 30 766 ETH (~$71 млн), связанных с атакой, и перевёл их на управляемый адрес. Это около четверти украденных средств.

Мера была реализована экстренно, чтобы злоумышленник не вывел активы через Arbitrum. Совет Безопасности (12-участников мультиподписи) оперативно заблокировал позицию злодея, однако часть средств уже была распределена по разным сетям — поэтому фонд DeFi United продолжает сбор средств для покрытия оставшегося дефицита.

Это первый случай параллельного применения централизованных и децентрализованных мер восстановления после взлома в отрасли DeFi.

Связь с Lazarus Group и влияние на безопасность мостов

LayerZero связывает атаку с группой Lazarus из КНДР, в частности с подразделением TraderTraitor. Вывод основан на схожих признаках: предоплата через Tornado Cash, использование самоуничтожающихся бинарников и консолидация средств по шаблонам прошлых атак, приписываемых DPRK.

Если версия подтвердится, только за 18 дней апреля 2026 года Lazarus Group вывела из DeFi более $575 млн, включая эксплойты Drift Protocol и Kelp. Различные векторы атак, но один и тот же злоумышленник.

Итоговые масштабы деятельности Lazarus за 2026 год могут превысить $1,7 млрд, зафиксированные за весь 2022 год, ранее считавшиеся пиком.

Внутренние дебаты между Kelp и LayerZero также показали важность надёжных настроек: LayerZero утверждает, что Kelp выбрал схему с одним верификатором, несмотря на предупреждения. Kelp в ответ считает, что уязвимость связана с настройками LayerZero по умолчанию. Практический вывод для пользователей: протоколы с единой точкой сбоя несут риск, который не отражается на рынке. Многоуровневая система проверки могла бы предотвратить такую атаку.

Что будет, если DeFi United соберёт 100 000 ETH

Цель фонда — восстановить обеспечение rsETH, чтобы каждый держатель rsETH мог обменять его на ETH в соотношении 1:1. Без полной реставрации rsETH будет торговаться со скидкой, Aave понесёт убытки, а все протоколы, принимающие rsETH в качестве залога, столкнутся с недооценкой активов.

При достижении цели курс rsETH будет восстановлен, убытки Aave покроет фонд, а DeFi-экосистема избежит кризиса доверия. После инцидента TVL Aave снизилась на $6 млрд из-за роста осторожности пользователей. Восстановление доверия столь же важно, как и покрытие дефицита ETH.

Инцидент повлиял на весь рынок: общий TVL DeFi снизился более чем на $13 млрд за два дня, хотя многие протоколы напрямую не пострадали. Это пример эффекта страха, и задача DeFi United — не только покрытие балансового дефицита, но и поддержание стабильности сектора.

Даже если вы не держите rsETH напрямую, последствия важны: состояние Aave влияет на кредитные ставки, доступность залога и ликвидность на всем рынке. При недофинансировании фонда дефицит ляжет на казначейство Aave и модуль безопасности, что может привести к продаже токенов AAVE и снижению их цены.

Часто задаваемые вопросы

Что такое DeFi United?

DeFi United — фонд помощи, инициированный провайдерами Aave для сбора 100 000 ETH и восстановления резерва rsETH после эксплойта Kelp DAO. Среди участников — Aave DAO, Lido, Mantle, EtherFi, Ethena и другие. На 24 апреля собрано ~69 534 ETH.

Как произошёл эксплойт Kelp DAO?

Злоумышленник скомпрометировал RPC-узлы для единственного верификатора LayerZero, отправил ложное межсетевое сообщение и вывел 116 500 rsETH (~$292 млн) из Ethereum. Затем токены были внесены в Aave в качестве залога для займа $190 млн в легитимных активах.

Почему Aave вовлечён, если эксплойт был у Kelp?

Злоумышленник использовал 89 567 необеспеченных rsETH как залог на Aave и занял ~$190 млн в WETH и wstETH. В случае ликвидации позиций убытки понесёт Aave, так как залог не обеспечен. Потери для Aave могут составить от $123 млн до $230 млн.

Это крупнейшее спасение в истории DeFi?

Да, по всем признакам это крупнейшее координированное спасение в истории индустрии. Ранее протоколы покрывали убытки индивидуально, запускали программы по возврату средств или сборы. Впервые основные протоколы объединили десятки тысяч ETH для компенсации ущерба другому проекту.

Выводы

DeFi United за неделю собрал около 70% от цели (100 000 ETH) — с участием Aave, Mantle, Lido, Кулечова и других. Ближайшие 48–72 часа будут решающими: если голосование Aave DAO завершится успехом, а дефицит будет покрыт, DeFi избежит системного кризиса. Если сбор остановится — модуль безопасности Aave покроет убытки, токену AAVE грозит давление, а кредитным протоколам — новые вопросы по рискам залога. Связь с Lazarus Group добавляет вопрос регуляторного контроля: действия государственного актора на сумму $575 млн за 18 дней могут ускорить ужесточение стандартов безопасности мостов. Для участников DeFi результат инициативы DeFi United — главный сигнал этой недели.

Данный материал представлен исключительно в информационных целях и не является инвестиционной рекомендацией. Торговля криптовалютами связана с высокими рисками. Перед принятием торговых решений всегда проводите собственный анализ.