Часть 3. Почему все говорят про "плохие" долги у Aave, что произойдет с внесенными rsETH в залог, кто компенсирует потери и есть ли риски у держателей ETH на Aave?
Это самая важная часть разбора. И самая непонятная для людей снаружи. Многие видят заголовки: "Aave заморозили ETH - всё пропало", "Безопасных мест в DeFi на осталось" и без разбора начинает репостить. Хотя те, кто публикуют либо тоже не очень разобрались, либо хотят "хайпануть" на теме, а что как не панические статьи и заголовки вызовут больше резонанса?
Для начала про цену rsETH. Сейчас, если посмотреть CoinMarket, то цена ~$2107. Депег около 11% от базовой цены на момент написания. Но важно уточнить, что после инцидента, торги по rsETH минимальны, то есть если у вас большой объём rsETH (как у Aave), то вы не можете просто прийти на биржу и продать его. Отсюда все и говорят про долг в $200 миллионов у Aave. Однако, нужно понимать, что rsETH - не обесценился. С учётом объема необеспеченных rsETH, максимальный DePeg - это 15% (ниже приведу цифры).
До атаки: 647 222 rsETH ↔️ 685 408 ETH (соотношение 1:1.059)
После атаки: 763 722 rsETH ↔️ те же 685 408 ETH
Реальная стоимость rsETH сейчас: ~0.89% от 1 ETH и -15% от прежней
Депег ~15%.
При этом, что Aave может сделать с внесенными rsETH? Раньше, используя механизм ликвидаций, при снижении цены, Aave просто продал бы актив в рынок, однако из-за приостановки торгов, протокол не может этого сделать. Но существует ведь смарт-контракт на стороне KelpDAO, через который под rsETH можно вернуть обычные ETH? Всё так. И, я думаю, так и поступят. Но нужно несколько решений. Потому что сейчас, по-факту, из-за хака на стороне моста и KelpDao, необеспеченными являются rsETH, которые находятся в L2-сетях, и при этом идет спор по тому, считать ли эти выпущенные rsETH легитимными. И в зависимости от того, как договорятся команды протоколов, будет понятно, как будет происходить механизм разворачивания rsETH и кто примет на себя убытки.
Кстати, отдельно отмечу, сколько в итоге хакеры внесли в Aave, а сколько вывели. Это будет важно в дальнейших расчетах:
Всего Атакующий внёс на Aave 89567 rsETH (53к - на Ethereum и 36к на Arbitrum) на сумму около 231 млн долларов (цена на момент взлома 1 rsETH = 2579$), а занял на 200 млн долларов WETH и wstETH - 148 млн на Ethereum и 52 млн на Arbitrum)
Три сценария, которые обсуждаются
Aave Labs и LlamaRisk опубликовали официальный отчёт с двумя моделями, но есть и третий, который озвучивают разные источники. Приведу все 3:
Сценарий 1: "Все держатели rsETH скидываются по 15%"
Убыток размазывается тонким слоем по всем держателям rsETH.
- Aave, как держатель rsETH также разделит часть этого долга . То есть при DePeg 15%, реальный дефицит Aave составит ~34.5 млн долларов. Которые полностью покроются программой Umbrella по крайней мере не Ethereum, где она развернута (про неё - ниже). Но и с учётом того, что была разница залог / займ, дефицит должен быть ещё меньше. При текущих ставках - на уровне 5-10 млн долларов. Aave такое даже не заметит.
- При этом каждый держатель rsETH теряет ~15% к сожалению. Но нужно помнить, что у каждого риска есть своя цена. Пользователи держали rsETH, чтобы получать двойной доход.
Лично мне этот сценарий видится наиболее реалистичным. Но у него есть "узкое горлышко". Он возможен только с согласия KelpDAO, потому что через них будет проходить вывод rsETH -> ETH.
Сценарий 2: "Пусть платят L2"
Ethereum-держатели остаются целыми. Весь удар - на тех, кто держит rsETH в L2-сетях. При этом из отчётов: в адаптере моста осталось всего 40 373 rsETH против 152 577 требований на L2. То есть реальное обеспечение всех L2-токенов сейчас - только 26%.
В этом случае Aave сталкивается с дефицитом на Арбитрум 27%: 36000257627%=25 млн долларов. И тут важно отметить, что у Aave есть механизм Umbrella, который предусмотрен дабы покрывать такие риски, но сейчас он развернут только на Ethereum и в механизме 55 млн$ сейчас, поэтому не факт, что эти деньги используют для покрытия потерь на Arbitrum, и в худшем случае Aave покроет его эмиссией токенов Aave. Но всплыла новость о том, что сам Арбитрум заморозил порядка 30000 выведенных WETH. Поскольку основную часть хакеры заняли именно у Aave, то с высокой вероятностью эти WETH вернут Aave, а это почти вся сумма занятая в Арбитрум-маркете (на текущий момент около 71 млн долларов). И тем самым покроют дефицит.
- L2-rsETH получает стрижку 73%. Вот это самое неприятное. Для тех, кто держал rsETH и использовал в L2-сетях. Но мне кажется, что на это не пойдут.
Могут разделить по факту на сети:
- На Mantle - дефицит резерва WETH 71.45%
- На Arbitrum - 27%
Сценарий 3: Признать нельзя блокировать - поставьте запятую"
Обсуждается также сценарий, что KelpDAO, который сам сминтил эти лишние rsETH признает их недействительными и внесёт в блэк-лист текущих держателей этих новых rsETH, мотивируя это тем, чтобы защитить остальных держателей rsETH от DePeg. Но это бы означало полностью снять с себя ответственность за ошибку с валидацией. И на мой взгляд, это самый нелогичный сценарий, но возможный. Поэтому давайте рассмотрим и этот худший сценарий.
Если KelpDAO признаёт недействительными выпущенные rsETH, то залог на Aave обнуляется, и мы сталкиваемся, действительно, с плохим долгом в 240 млн долларов и взятым под ним кредитом в 200 млн долларов. То есть максимальный дефицит - это 200 млн долларов в WETH и wstETH. При этом, высок шанс, что 70 млн долларов будут возвращены Арбитрумом, поскольку они уже заморожены и фактический дефицит составит 130 млн долларов, преимущественно на Ethereum.
Как поступит Aave? У Aave есть страховой механизм Umbrella. Роль АСВ, только on-chain и без правительства. У Umbrella есть поставщики ликвидности, которые держат там деньги за %, взяв на себя роль подушки безопасности. Механизм срабатывает, если возникают "плохие долги" без покрытия. Сейчас у Aave 55 млн долларов в Umbrella. В текущем "худшем" для Aave сценарии, этого хватит чуть меньше, чем на половину потенциального дефицита. И получается, что около 65 млн долларов, Aave придется покрыть извне. Скорее всего за счет эмиссии токена Aave. Что при их масштабе и капитализации - не большая проблема. Поэтому цена токена так просела за последние пару дней (на 18-20%). Что, впрочем, во времена Трампа не такая уж и редкость для финансовых рынков в целом.
То есть в этом наихудшем сценарии для Aave размер дефицита я вижу, как 65 млн долларов, которые будут покрыты, вероятно, доп эмиссией токенов Aave.
Итого, я вижу 3 базовых сценария и потенциальный дефицит Aave:
- Депег rsETH на 15%. Тогда дефицит- минимальный, около нуля для Aave.
- Депег rsETH только на L2-сетях. Тогда дефицит Aave 25 млн долларов. Но скорее всего он будет покрыт средствами, которые заморозил Арбитрум.
- Держатели rsETH - не страдают вообще, основной удар берет на себя Aave. Дефицит - 130 млн долларов, при условии, что Арбитрум возвращает замороженные 70 млн$. Покрытие - 55 млн долларов из Umbrella (потери у стейкеров Umbrella) + 65 млн долларов эмиссия Aave
Но при всех трех сценариях я не вижу возможности потерять деньги тем, кто держит ETH / WETH / USDT / USDC на Aave.
Дальше - разберем , почему Aave не даёт вывести ETH?
Кстати, как вам разбор? Понятно пишу?
Часть 4. Закономерный вопрос - Почему с Aave не дают вывести ETH?
К слову, в моём сообщество люди довольно спокойно и рассудительно к этому отнеслись. Хотя первоначально, почитав посты у ряда блогеров-паникеров, ребята заволновались.
Распространен также комментарий: "Я ничего не клал в rsETH, почему я не могу вывести свои ETH с Aave?" Давайте разберемся!
Первое, что нужно понимать. Aave - не был взломан. И по прежнему остаётся одним из самых надежных в DeFi протоколов.
Второе, есть две главные причины, по которым некоторые активы сейчас нельзя внести или вывести.
Причина #1. Пока расследование инцидента не завершено, а последствия - полностью не купированы, Aave заморозил ввод и вывод с целью предотвратить проблемы, если в рынок будут выброшены еще какие-то rsETH или производные. Это нормальная практика. Лучше столкнуться с критикой, чем потом разбираться с последствиями дополнительных атак.
Причина #2. Она касается, в основном, займов. Многие люди на панике бросились выводить деньги с Aave через займы. То есть, если ты переживаешь о том, что твои Eth не дают вывести, то хеджируешь риски и идёшь занимать то, что можно занять под твои ETH. Именно поэтому взлетели ставки на некоторые стейблкоины. А еще, с учётом того, что на том же Arbitrum WETH были выведены в большом объеме хакером, то при попытках занять актив, пользователи столкнулись с тем, что utilization rate достиг 100%. Это тоже нормально. Это механизм, по которому Aave работает годами, и который обеспечивает стабильность сервиса. Должен быть баланс между депозитным и кредитным балансом, чтобы не возникало дефицита ликвидности.
Как работает Aave: общий пул. Одни кладут WETH -> получают проценты. Другие берут WETH в долг -> под залог. Если 100% депозитов выдано в кредит - новых денег на вывод физически нет. Ждём, пока заёмщики вернут. При этом в этот момент ставки по депозитам и займам возрастают и заёмщика невыгодно держать у себя такие займы.
К слову, паника, эмоции и действия без понимания стоят денег. И те, кто на панике пытался быстро вывести через займ заплатят больше по кредитным ставкам даже за этот короткий период.
Хронология:
- Новость о взломе выходит в X
- Киты видят, пугаются -> бегут выводить
- Aave теряет $8.45 миллиардов за 48 часов (TVL упал с $26.39 млрд до $17.94 млрд), хотя это вообще не проблема для DeFi-протокола, где резервы прозрачны
- Блогеры подхватывают эти новости и начинают форсить что-то вроде: "Инвесторы бегут с Aave. Депозиты заморожены и т д"
- Пулы WETH, USDT, USDC дошли до 100% утилизации
- Пока заёмщики не вернут - никто не выходит. При этом, те, кто держат депозиты - получают прибыль через высокие ставки.
Финальный абсурд: застрявшие в USDT пользователи начали брать USDT в кредит под залог собственных заблокированных USDT. Платят процент, лишь бы вытащить хоть что-то. Таких вторичных займов накопилось ~$300 миллионов.
Главный инсайт этой истории
Прямой убыток от взлома - $292 млн. Но убыток DeFi-экосистемы от реакции на взлом в том числе из-за не очень компетентных инфлюенсеров, которые пугают людей, не понимая сути - миллиарды.
Само событие - контролируемое. Реакция рынка - вот что дорого.
➡️ Дальше - как Aave будет покрывать убыток. Еще раз про Umbrella, и это его первое боевое крещение. Очень любопытная штука.
Часть 5. Umbrella - страховка DeFi, которую впервые проверят боем
Итак, мы разобрались, что если KelpDAO даст развернуть заложенные rsETH, то Aave отделается минимальными потерями, но что если залог обнулят, и возникнет дефицит 130-200 млн долларов. Где их брать?
В обычных банках есть государственная страховка вкладов. Если банк прогорел - вам вернут до определённой суммы из бюджета. В DeFi государства нет, поэтому протоколы строят собственные страховочные механизмы.
У Aave это Umbrella. И прямо сейчас мы наблюдаем его первое настоящее боевое применение. До этого он был теорией.
Почему раньше не работало
До 2025 года у Aave был Safety Module - похожая концепция. Люди стейкали AAVE (токен протокола), получали небольшой доп-доход, а в случае дефицита их стейки можно было срезать для покрытия дыры.
Проблема: для slashing требовалось голосование DAO. А это долго, политически сложно и на практике ни разу не применялось. Safety Module был красивой теорией, которая никогда не выстрелила.
Как устроен Umbrella
В 2025 году Safety Module заменили на Umbrella. Работает принципиально иначе. Пять ключевых фишек:
1. Изолированные vault'ы.
Нет одного общего фонда. Есть отдельно WETH-vault, USDC-vault, GHO-vault. Каждый стейкер сам выбирает, куда класть. Если случится дыра в WETH - стрижка падает ТОЛЬКО на WETH-vault. Стейкеры USDC и GHO не страдают. Изоляция рисков.
2. Автоматический slashing.
Когда контракт UmbrellaCore видит зафиксированный безнадёжный долг - он сам вызывает slash(). Без голосований. Без задержек. Без политики. Это ключевое отличие от старого модуля.
3. Пропорциональное размытие.
Срезается часть активов vault'а, отправляется в пул для покрытия дыры. Каждый стейкер теряет одинаковый процент.
4. Cooldown 20 дней.
Это гениальная штука. Нельзя вывести свой стейк моментально. Когда вы запрашиваете вывод - ждёте 20 дней, и все 20 дней ещё под риском (и получаете доход). Это сделано специально, чтобы избежать банковского набега: когда запахло жареным - все не смогут разом сбежать. Иначе страховка развалится в первую секунду после плохой новости.
5. Минимальный остаток.
Vault не может быть опустошён до нуля - есть встроенный пол.
Где он прямо сейчас работает
Только на Ethereum mainnet. На Arbitrum, Base, Mantle - Umbrella ещё не развёрнут.
И это уже прямо сейчас создаёт проблему: убыток атакующего на Aave Arbitrum не имеет страховочной сетки на своей стороне. Что с ним делать - отдельная история.
Сколько там реально денег
Ethereum WETH Umbrella vault - ~$56 миллионов на момент инцидента.
Если реализуется сценарий "Признаем новые выпущенные rsETH - недействительными", то возникает дефицит 130-200 млн долларов. То есть vault будет полностью срезан до минимального пола. Стейкеры потеряют почти всё.
Жёстко? Да. Но вот что важно понять: они на это подписались.
Сделка была абсолютно прозрачной. Дополнительный доход сверху обычных процентов по aWETH - в обмен на роль первой линии защиты протокола. Теперь эта подписка активирована.
Это как если бы вы добровольно пошли в пожарные за повышенную зарплату. Когда пожар - идёте тушить. Это не трагедия. Это ваша работа.
Что будет, если Umbrella не хватит
По очереди:
- DAO Collector - казна Aave (~$181 млн)
- Эмиссия новых AAVE - протокол печатает свежие токены, продаёт, закрывает дыру. Классический MakerDAO-style. Существующие держатели AAVE размываются. Токен уже упал на 16-18% - рынок именно это и закладывает.
По инсайдам, Aave предпочла бы не активировать Umbrella, если удастся договориться с KelpDAO локализовать убыток. Потому что стрижка стейкеров - это не только финансовое событие, но и репутационное.
Философский момент (важный)
Umbrella - это не провал, а триумф дизайна.
Протоколы 2022 года в подобных ситуациях просто разорялись. Была дыра - привет. Кто первый увидел новость и вывел деньги, тот и спасся.
DeFi 2026 имеет упорядоченные механизмы абсорбции убытков. Никто не "спасается первым". Все разделяют риск по заранее известным правилам, автоматически, без человеческого фактора.
Это прогресс. И именно такие инциденты - лучший способ проверить, что механизм работает как задумано.
➡️ В финале - переговоры трёх сторон (там целая драма), иерархия тех, кто реально заплатит, и мои шесть выводов, которые я считаю критически важными для всех, кто работает с DeFi.
Часть 6. Кто заплатит? Переговоры и выводы
Финал.
Здесь самая живая часть всей истории - потому что прямо сейчас за кулисами идёт настоящий торг, от которого зависит, кто и сколько потеряет.
Трое за столом
🔹 KelpDAO - главный виновник по конфигурации.
В казне недостаточно денег на полную компенсацию. Им нужно решить: размазать убыток на всех держателей rsETH или только на L2? Могут компенсировать частично - казной, токенами, долей от будущей выручки.
🔹 LayerZero - виновник по инфраструктуре.
Формально их код цел. Но их ноды были скомпрометированы и их дефолты вели к 1/1 DVN. У них большой экосистемный фонд. Уже объявили: больше не подписывают сообщения для любых OApp на 1/1 DVN. Это принудительная миграция для всей экосистемы, мимо воли разработчиков.
🔹 Aave - пострадал не по своей вине.
Контракты отработали идеально. Просто оказался невольным кошельком, куда пришёл украденный залог. Есть Umbrella, но активировать его хочется в последнюю очередь.
Что говорят публично
- Stani Kulechov (основатель Aave) сразу подтвердил: контракты Aave не скомпрометированы, протокол работает как должен.
- Justin Sun (Tron) пошёл очень странным путём и публично обратился к хакеру в X: "Слушай, сколько ты хочешь? Давай поговорим. $300 миллионов ты всё равно не потратишь". Да, это реально было опубликовано. Не знаю, что это - реальная попытка переговоров, пиар, или что-то среднее. Но факт есть факт.
- Yishi (OneKey) предложил интересную иерархию восстановления:
Сначала попробовать 10-15% баунти хакеру - вдруг вернёт основное
Если не сработает - тянуть деньги из экосистемного фонда LayerZero (у них самые глубокие карманы)
KelpDAO компенсирует оставшееся токенами и долей выручки
В крайнем случае - продать KelpDAO целиком, возможно самой LayerZero
Его красная линия: "Вкладчики rsETH не должны пострадать ни в коем случае - иначе развалится вся категория LRT". Тут согласен.
Что прямо сейчас
- Все 7 кошельков атакующего активны на Aave. Деньги лежат.
- 89 567 rsETH продолжают быть залогом на Aave V3.
- Health factor позиций хакера: 1.01-1.03. Они на грани ликвидации, но ликвидация заморожена.
- Aave и KelpDAO работают над совместным бейлаутом, обходя LayerZero. Цель - собрать ~110 000 ETH для покрытия дыры.
Хакер молчит. Часть средств прошла через Tornado Cash, остальное под микроскопом у он-чейн аналитиков.
Иерархия: кто реально заплатит
В порядке убывания:
- Стейкеры Umbrella (WETH) на Ethereum - первая линия защиты, подписывались на это
- Держатели AAVE - через возможную эмиссию. Уже -16% на токене.
- Держатели rsETH на L2 - стрижка от 15 до 73% в зависимости от сценария
- Леверидж-лупперы (те, кто закредитовался на rsETH) - позиции тают, без возможности выхода
- Поставщики WETH на Arbitrum - там нет Umbrella, зависят от голосования DAO
- Все остальные - через размытие KelpDAO и репутационный ущерб LayerZero
Мои выводы
Буду честен. За эти три дня я прочитал, наверное, все публичные отчёты, включая форумы управления Aave. Вот что я думаю, если убрать весь медийный шум:
1. Это не критичный удар по DeFi, а скорее показательная история.
Ethereum цел. EigenLayer работает. Рестейкинг функционирует. Смарт-контракты Aave - идеально. Сломался один адаптер одного протокола из-за ошибки в настройках деплоя. Это не системный кризис DeFi - это локальный инцидент со значительным радиусом поражения.
2. Цена свободы - осознанные риски.
Мы выбираем DeFi ради самостоятельного владения, доступа 24/7, доходности выше банковской, отсутствия посредников. В обмен получаем технический риск, риск конфигурации, риск композируемости. Это не баг - это часть контракта. Вопрос не в том, чтобы избежать рисков, а в том, чтобы понимать их и управлять ими.
3. Композируемость - одновременно сила и слабость.
Тот факт, что rsETH принимался в 20+ протоколах - это огромная польза для пользователей. Но эта же композируемость превращает локальный инцидент в системный эффект. Компромисс известен с самого начала. Нельзя съесть торт и сохранить его.
4. Управленческие механики - важнее кода.
Каждый девятизначный взлом последних двух лет имеет одинаковую форму: код идеален, а конфигурация доверия провалена. Управление ключами. Мульти-подписи. Ревью конфигов. Именно там сидит реальная безопасность. Не в очередном аудите Solidity.
5. Страховочные механизмы работают.
Umbrella - это демонстрация зрелости. В DeFi появились упорядоченные механизмы абсорбции убытков. Протоколы 2022 года в подобной ситуации просто разорялись. Это прогресс, даже если для конкретных стейкеров сейчас больно.
6. Не паниковать - но учиться.
LayerZero уже меняет дефолты. Aave расширит Umbrella на L2. Протоколы пересмотрят LRT как залог. Каждый такой инцидент - это эволюция стандартов безопасности. Система становится крепче через свои кризисы.
DeFi был, есть и будет местом, где риски и возможности идут рука об руку. Это часть контракта, который мы подписываем, выбирая свободу от банков и посредников. И чем лучше мы понимаем этот контракт, тем увереннее принимаем решения.
Не паниковать. Разбираться. Адаптироваться.
Потому что свобода никогда не была бесплатной. И именно это делает её настоящей.
#DeFi #Aave #Ethereum #криптовалюта #инвестиции #блокчейн #риски #цифровыеактивы #финансы #LayerZero