Сравнение безопасности Aave, Compound и MakerDAO после эксплойта Kelp: чей DeFi-протокол более устойчив?

Aave понес убытки в размере $196 миллионов из-за неудачного кредита после эксплойта Kelp rsETH в апреле 2026 года, а общий заблокированный объем средств (TVL) упал на $6,6 миллиарда. Compound в тот же день заморозил рынки rsETH и не получил долгов. MakerDAO, благодаря своей иной модели кредитования, вообще не оказался подвержен риску.

Три протокола — три разных результата после одного инцидента. Ключевые отличия кроются в архитектуре, политике обеспечения и реакциях протоколов на внештатные ситуации. Для тех, кто размещает капитал в DeFi-кредитовании, механизмы защиты важнее, чем обещанный APY.

Что произошло с эксплойтом Kelp

rsETH от Kelp DAO — ликвидный токен restaking на базе EigenLayer — подвергся ценовой манипуляции в апреле 2026 года, что привело к резкой потере привязки к ETH. Злоумышленники воспользовались уязвимостью в оракуле Kelp, чтобы брать займы под завышенное обеспечение rsETH на нескольких DeFi-протоколах до коррекции цены.

Больше всего пострадал Aave, так как rsETH был включён в качестве обеспечения во многих его пулах, включая Ethereum mainnet. После обвала rsETH заемщики оказались в убытке, а ликвидационный движок протокола не успел закрыть позиции достаточно быстро — в результате образовался долг $196 млн до того, как сообщество Aave заморозило рынки.

Compound тоже имел экспозицию к rsETH, но быстрее заморозил рынки и имел меньшее количество обеспечения — это позволило избежать долгов. MakerDAO никогда не принимал rsETH как обеспечение, поэтому напрямую не пострадал.

Как работает система защиты Aave

Основная защита от долгов у Aave — модуль безопасности Umbrella на базе stkAAVE (стейкинг токенов AAVE). Владельцы могут стейкать AAVE и получать вознаграждение за обеспечение устойчивости. При образовании долга сверх резервов модуль может списать до 30% стейкнутых AAVE, реализовать их на рынке и закрыть разницу поступившими средствами.

Данный механизм сейчас проходит стресс-тест — $196 миллионов стали крупнейшим долгом в истории Aave. Ранее протокол успешно решал меньшие инциденты: в ноябре 2023 попытка манипуляции с CRV создала долг примерно $1,6 млн, который был погашен из казначейства без необходимости списания stkAAVE. Однако нынешний масштаб в разы выше.

Голосование по экстренным мерам и заморозка рынков происходили быстро — через несколько часов после инцидента. Скорость реагирования — одно из сильных мест Aave: экстренные предложения Guardian multisig может принять за 24 часа, стандартные — в течение 7 дней (5 дней голосование, 2 дня таймлок).

Однако событие с Kelp выявило уязвимость — Aave принимает больше экзотических активов в обеспечение, чем конкуренты. Это способствует росту TVL, но увеличивает риски подобных событий.

Как Compound справился с эксплойтом

Действия Compound были проще: рынки rsETH были быстро заморожены, долгов не возникло. Это результат сочетания удачи и консервативного подхода.

Compound традиционно осторожно подходит к листингу новых активов — предпочитает ликвидные и проверенные временем токены, строит изолированные рынки (на Compound III), где заем под каждый актив независим, что снижает риск распространения потерь.

Компромисс — меньше вариантов для кредитования и меньший TVL. У Compound нет страхового фонда, аналогичного stkAAVE — защитой служат строгие критерии отбора и фонд резервов, формируемый из сборов протокола.

Голосование проходит медленнее, чем у Aave: задержка на 2 дня, голосование 3 дня, затем 2 дня таймлока. В экстренных случаях Guardian multisig может мгновенно заморозить рынки, как и было при эксплойте Kelp.

Почему MakerDAO не подвергся риску

MakerDAO (ныне Sky) использует иную модель: вместо пулов кредитования Maker работает с CDP (collateralized debt positions). Пользователи вносят обеспечение в хранилище (vault) и выпускают DAI или USDS под него. Нет пула средств вкладчиков, подверженного рискам — создаются новые стейблкоины, полностью обеспеченные залогами.

Такое строение — причина, по которой rsETH Kelp не затронул Maker. Подключение новых видов обеспечения проходит строгую многоступенчатую оценку рисков: анализируются надежность оракула, ликвидность актива, история аудитов контрактов, сценарии ликвидации. rsETH этот процесс не прошёл, что уберегло Maker от прямого воздействия.

Крайняя мера защиты — emergency shutdown. В случае неплатежеспособности или критического сбоя оракулов, держатели MKR могут провести экстренное выключение, что замораживает новые хранилища, позволяет пользователям забрать обеспечение и обменять DAI по фиксированному курсу к оставшемуся обеспечению. Эта функция ни разу не применялась в основной сети, но она есть как последний рубеж — у пуловых кредиторов такой возможности нет.

Токен MKR также служит инструментом докапитализации: если аукционы по ликвидациям не покрывают долг, протокол выпускает новые MKR и продаёт их для покрытия разницы, что приводит к размыванию существующих держателей, но поддерживает привязку DAI. Такое было во время "чёрного четверга" в марте 2020, когда ETH упал на 43% за день и MakerDAO получил долг $6,65 млн.

Сравнение защитных механизмов

Из таблицы видно: более агрессивные листинги обеспечивают больший TVL и доход в штатном режиме, но увеличивают риски при проблемах с активом. Консервативный подход жертвует ростом ради устойчивости.

Какой подход безопаснее для вкладчика

Ответ зависит от того, какой актив вы размещаете и какую степень риска готовы принять.

Если вы кредитуете стейблкоины на Aave — ваш риск включает все типы обеспечения, которые могут размещать заёмщики. При обвале rsETH пострадали поставщики стейблкоинов: в случае, если модуль безопасности не перекроет долг, возможны убытки. Механизм stkAAVE — дополнительный слой защиты, отсутствующий у Compound, но его эффективность в покрытии $196 млн ещё не подтверждена.

У вкладчиков Compound риск ниже из-за ограниченного списка активов и изолированных рынков: сбой в одном рынке не распространяется на другие. Но специального страхового фонда нет — в случае крупного долга убытки лягут на вкладчиков.

Пользователи Maker vault рискуют только ликвидацией собственного vault-а при снижении стоимости обеспечения ниже порога. Система emergency shutdown служит крайней защитой, которой нет у Aave или Compound. Но на Maker нельзя получать доход за счёт предоставления средств в пул, как это возможно на Aave/Compound.

Уроки безопасности DeFi после инцидента с Kelp

То, как Aave справится с дефицитом в $196 млн, задаст ориентир для сектора DeFi-кредитования. Если stkAAVE справится полностью — модель страхования будет подтверждена, а агрессивная стратегия листинга активов сохранит актуальность. В случае необходимости масштабного привлечения средств казначейства или эмиссии токенов сверх stkAAVE — пересмотрится оценка риска кредитования в DeFi.

Обсуждение на форуме Aave после эксплойта свидетельствует о переходе к более строгой политике листинга для токенов restaking/LRT — предполагается введение лимитов, изолированных пулов и задержек оракулов для подобных активов. Это делает политику похожей на Compound, но с сохранением широкого перечня рынков для проверенных активов.

Главный вывод: протоколы DeFi настолько надёжны, насколько надёжен их самый слабый залог. Даже при идеальном коде, быстрых голосованиях и страховом фонде, всегда есть риск из-за листинга недостаточно проверенного актива.

Часто задаваемые вопросы

Безопасно ли пользоваться Aave после эксплойта Kelp?

Ядро Aave и смарт-контракты не были скомпрометированы. Долг возник из-за падения стоимости актива (rsETH), а не хака. Модуль stkAAVE предназначен для покрытия подобных ситуаций, и ранее протокол успешно закрывал убытки меньшего масштаба. Открытый вопрос — покроет ли stkAAVE всю сумму $196 млн.

В чем отличие Aave и MakerDAO?

Aave — пуловый кредитный протокол: пользователи размещают и берут активы как в банке. MakerDAO — система CDP: пользователь блокирует обеспечение и выпускает стейблкоины под свой залог. Ключевое отличие: на Maker рискует только индивидуальный пользователь своим обеспечением, а в Aave все вкладчики делят риски всех типов обеспечения в пуле.

Есть ли у Compound страховой фонд?

У Compound нет отдельного страхового механизма, как stkAAVE у Aave. Протокол полагается на резерв из комиссий и строгие критерии по листингу активов. Изолированная структура рынков Compound III также ограничивает распространение риска.

Какой DeFi-кредитный протокол минимизирует риски?

CDP-модель MakerDAO даёт минимальный системный риск для пользователей стейблкоинов: риски изолированы по vault-ам, emergency shutdown — крайняя защита. Для вкладчиков, желающих получать доход, Compound с консервативной политикой и изолированными рынками даёт меньший хвостовой риск, чем более широкий выбор залогов в Aave.

Заключение

Эксплойт Kelp стал своеобразным стресс-тестом для DeFi-протоколов и выявил слабые места каждой платформы. Агрессивная стратегия Aave обеспечила лидирующий TVL, но привела к крупнейшему долгу. Compound пожертвовал ростом ради устойчивости и избежал потерь. Особенности архитектуры MakerDAO сделали эксплойт нерелевантным для этого протокола.

Для вкладчиков важнее не то, где выше APY, а то, насколько приемлем наихудший сценарий для вашего капитала. Следите за голосованиями в Aave в ближайшие недели: если stkAAVE сможет полностью покрыть долг, эта модель страхования получит подтверждение. В противном случае, вероятна миграция капитала в Compound и Maker.

Данный материал носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Торговля криптовалютой сопряжена с риском. Перед принятием решений рекомендуется самостоятельный анализ.