Aave、ハッキング前の預金水準を依然80億ドル下回る

DefiLlamaの最新データによると、Aaveの預金総額は181億ドルで、4月のKelpハッキング前日の261億ドルから約31%減少しています。

貸出プロトコルの自身のコードは無傷のままでした。問題は融資の担保であり、それは融資契約の範囲外の場所で失敗しました。

Kelpハッキングが実際に壊したもの

4月18日、攻撃者はKelp DAOのクロスチェーンブリッジが受信メッセージを検証する方法を標的にしました。貸出機能ではありません。Kelpは流動性リステーキングプらットホームとして運営されており、rsETHがその受領トークンとして機能します。

$AAVEは本日、KelpDAOのrsETHエクスプいトを受けて20%下落しました。

このエクスプロイトにより、大口売りの波と、貸出プロトコル全体での$ETH利用率の記録的な急上昇が発生しました。

の@aaveチームはBeInCryptoに対し、状況はV3 ETH市場に限定されており、V4は完全に…pic.twitter. com/LvDCDHCdmN

— BeInCrypto (@beincrypto) 2026年4月19日

rsETHを保有している人は、直接イーサを所有しているわけではありません。代わりに、最初にブリッジを通じて転送されたステークされたイーサに対する請求権を持っています。攻撃者はブリッジが依存していたデータフィードを侵害し、不正なメッセージを挿入しました。その結果、裏付けのない116,500 rsETH（約2億9200万ドル相当、トークンの総供給量の約18%）がリリースされました。

セキュリティ企業のHalbornは、単一の検証者と侵害されたデータノードによる設定が原因だとしました。Chainalysissisは、北朝鮮のLazarus Groupと犯人を結びつけました。スマートコントラクトは侵害されていません。

これらの裏付けのないトークンはその後、貸出プらットホームに流入しました。攻撃者は89,567 rsETHをAaveに預け入れ、それを利用して約1.93億ドルを借り入れました。

1時間以内に、Aaveは11の市場でrsETHを凍結し、2日後にWETHが凍結されました。同じ夜、BeInCryptoはAaveのWETH供給者に対し、そらのプールが完全に利用される数時間前に引き出すよう勧告しました。

「Aaveのスマートコントラクトは、このイベント中に一度も侵害されていません。供給、返済、清算メカニズムを含むすべてのプロトコルロジックは、設計通りに機能し続けました。」

Aaveのインシデント報告によると、損失を均等に配分した場合、不良債権は1.237億ドルになります。ブリッジされたrsETHのみを考慮すると、その数字は2.301億ドルに上昇しました。

借り手が信頼しているもの

他のプロトコルがギャップを埋めるために介入しました。連合によって資金調達された回収計画は、75,081 ETHの不足に対して約69,570 ETHの誓約を確保しました。

Arbitrum Security Councilは盗まれた資金のうち30,765 ETHを凍結し、そのDAOは6月にその額をAaveに送金しました。北朝鮮に対する判決を持った債権者によって得られた米国裁判所の命令は、資金に対する不確実性を引き続き投げかけています。

預金者は、残高の回収が示唆するよりも長く返還に時間がかっています。Aaveの預金は6月末に125億ドルでしたが、今週には181億ドルに上昇しました。AAVEトークンは124ドル近くで取引されており、当日は3.8%下落しています。

この種の構造は他の場所にも存在します。Wrapped Bitcoinや類似の受領トークンは、借り手と原資産の間に仲介者を挿入します。

それらを担保として差し入れる前に、3つのことを確認する価値があります。

• トークンのブリッジを認可するために必要な独立した当事者の数
• 貸出市場が単独で運用されるのか、それとも隣接市場と損失を共有するのか
• 担保自体が別の請求権を表しているかどうか

4月にアクセスを失った借り手にとって、それらの質問は未回答のままでした。このインシデントは、それらを尋ねなかった代価を示しました。