18 квітня 2026 року став переломним моментом для Aave — провідного протоколу кредитування, який жодного разу не зазнавав зламу смартконтрактів. Атака, спрямована на кросчейн-мост Kelp DAO, залишила глибокий слід. Зловмисник створив приблизно 116 500 rsETH «з повітря», вніс їх як заставу в Aave, позичив значну кількість реального ETH і зник. Загальна вартість заблокованих активів (TVL) у Aave впала з приблизно 26,4 млрд доларів до 18 млрд доларів лише за два дні, що призвело до зникнення понад 8 млрд доларів. Тим часом ставки кредитування стейблкоїнів у Aave злетіли до 15 %, а CoinDesk Overnight Rate (CDOR), який використовує Aave як базовий еталон, досяг найвищого рівня з початку 2024 року.
З одного боку, TVL різко впав і з’явилася загроза неповернення боргів; з іншого — ставки за депозитами у стейблкоїнах наблизилися до рідкісних 14 % річних.
Як атака без втручання у смартконтракти сколихнула найбільший кредитний протокол DeFi
О 17:35 (UTC) 18 квітня 2026 року кросчейн-мост rsETH, створений Kelp DAO на базі технології LayerZero, зазнав атаки. Протягом 46 хвилин зловмисник підробив кросчейн-повідомлення і незаконно випустив близько 116 500 rsETH з основної мережі Ethereum, що на той момент оцінювалося приблизно у 293 млн доларів — близько 18 % від загальної пропозиції токена.
Цей інцидент став найбільшою атакою на окремий DeFi-протокол у 2026 році.
Одразу після атаки адміністратори та ризик-менеджери Aave заморозили всі резерви rsETH і wrsETH у 11 ринках, встановили LTV на нуль, знизили ставки по WETH на мультичейнах і призупинили кредитування у WETH. Засновник Aave Стані Кулєчов підтвердив, що смартконтракти Aave не були скомпрометовані, а логіка протоколу залишилася незмінною.
Хоча атака не була спрямована на основні контракти Aave, вона виявила давно недооцінений структурний ризик у композиційності DeFi: помилка конфігурації у зовнішньому протоколі може передаватися через ланцюги застав, спричиняючи кризи ліквідності та накопичення неповернених боргів у масштабних кредитних системах на кшталт Aave. Сам протокол не був зламаний, але кредитна неспроможність активів на верхньому рівні безпосередньо вплинула на ліквідність пулів на нижньому рівні.
Від вразливості мосту до системної «зарази»
Повна хронологія подій:
| Час (2026, UTC) | Ключова подія |
|---|---|
| 18 квітня, 17:35 | Зловмисник надсилає підроблені кросчейн-повідомлення до контракту мосту Kelp DAO, незаконно випускає 116 500 rsETH |
| Протягом 6 хвилин після атаки | Зловмисник вносить rsETH у ринки Aave V3 та V4 через 8 підготовлених адрес і позичає WETH |
| Протягом 46 хвилин після атаки | Екстрена мультипідписна група Kelp DAO заморожує ключові компоненти протоколу, блокує дві наступні спроби виведення на загальну суму 40 000 rsETH (приблизно 100 млн доларів) |
| Ранок 19 квітня | Адміністратори Aave заморожують всі резерви rsETH/wrsETH у 11 ринках, встановлюють LTV на нуль |
| 19 квітня | За даними DefiLlama, TVL Aave падає з приблизно 26,3 млрд доларів до 18 млрд доларів, тобто за два дні втрачається близько 8,3 млрд доларів |
| 20 квітня | LayerZero публікує попередній звіт розслідування, вказуючи на Lazarus Group (TraderTraitor) з Північної Кореї як на джерело атаки |
| 21 квітня | Рада безпеки Arbitrum заморожує 30 766 ETH (приблизно 71 млн доларів), пов’язаних з атакою |
Швидке поширення цієї атаки на основні кредитні пули Aave було тісно пов’язане з функцією E-Mode у Aave V3, яка забезпечує високоефективне кредитування. Використовуючи rsETH як заставу в E-Mode, зловмисник міг позичати WETH із коефіцієнтом LTV до 93 %, фактично здійснюючи майже 1:1 обмін активів. Така конструкція підвищує ефективність капіталу у звичайних умовах, але стає підсилювачем втрат у разі втрати кредитоспроможності застави.
Масштаб неповернених боргів, волатильність ставок і рухи капіталу на блокчейні
Різке падіння TVL у Aave
До інциденту TVL у Aave становив близько 26,4 млрд доларів. За два дні він зменшився до приблизно 18 млрд доларів — падіння більш ніж на 31 %. Аналітики ончейн зафіксували відтік 6,6 млрд доларів за добу, з яких на стейблкоїни припадало 3,3 млрд доларів. Загалом у DeFi TVL впав з близько 99,49 млрд доларів до 86,29 млрд доларів, тобто на 13,2 млрд доларів.
Пули USDT та USDC у Aave V3 досягли 100 % використання: всі доступні активи були позичені, що тимчасово унеможливило виведення коштів для вкладників.
Два сценарії оцінки масштабу неповернених боргів
За даними звіту сервісу ризик-менеджменту LlamaRisk для Aave, масштаб неповернених боргів залежить від способу розподілу втрат:
- Сценарій 1 (глобальний пропорційний розподіл): Оцінка неповернених боргів — близько 123,7 млн доларів, основний тягар лягає на ринок Ethereum Core.
- Сценарій 2 (втрати обмежені L2): Оцінка неповернених боргів — близько 230,1 млн доларів, при цьому Mantle має дефіцит резервів WETH до 71,45 %, а Arbitrum — 26,67 %.
У скарбниці Aave DAO наразі зберігається близько 181 млн доларів у активах, чого достатньо для покриття сценарію 1, але у випадку сценарію 2 залишається дефіцит у 49 млн доларів, який доведеться покривати додатковими резервами або зовнішньою підтримкою.
CDOR злітає до 15 %
Масовий відтік капіталу підняв ставки за депозитами USDT та USDC у Aave до 13,4 %, а ставки за кредитами — до 15 %. CoinDesk Overnight Rate (CDOR) — еталонна ставка, яку публікує CoinDesk Indices на основі основних пулів плаваючого кредитування стейблкоїнів у Aave V3 — також досягла найвищого рівня з 2024 року, сягнувши 15 %.
CDOR створено для забезпечення стандартизованої овернайт-ставки для ринку стейблкоїнів, підтримки хеджування вартості, фіксації дохідності та крос-валютних стратегій. Зазвичай вона коливається у межах 2–5 %. Поточний рівень у 15 % у 3–7 разів перевищує норму, що свідчить про екстремальний дисбаланс ліквідності.
Рухи капіталу — структурна міграція з Aave до Spark
Поки у Aave спостерігався масовий відтік, інші великі кредитні протоколи показали протилежні тенденції:
- Aave: загальний обсяг депозитів зменшився з 48,5 млрд доларів до 30,7 млрд доларів за три дні, чистий відтік — близько 15,1 млрд доларів (–31 %).
- Morpho: падіння з 11,7 млрд доларів до 10,2 млрд доларів, чистий відтік — 1,5 млрд доларів, вплив обмежений.
- Spark (SparkLend): TVL зріс проти тренду — з 1,9 млрд доларів до 3,2 млрд доларів, чистий приплив — 1,3 млрд доларів.
Ці дані свідчать про різні оцінки ризиків учасниками ринку. Частина інституційних фондів, які вийшли з Aave, перемістилися на платформи, що сприймаються як більш безпечні альтернативи, серед яких Spark став найбільшим бенефіціаром.
Аналіз ринкових настроїв: як учасники оцінюють перспективи відновлення Aave
Оцінки провідних аналітиків:
Засновник DefiLlama @0xngmi окреслив два сценарії. Залежно від того, як буде розпорядженося замороженими 71 млн доларів ETH на Arbitrum, обсяг неповернених боргів Aave може становити від 17 млн до 341 млн доларів. Він вважає, що за наявності скарбниці протоколу та необхідних коригувань постраждалі протоколи можуть «повністю відновитися».
Керуючий партнер Dragonfly Хасіб Куреші зазначив: «AAVE, можливо, доведеться взяти на себе частину неповернених боргів, але у протоколу достатньо чистих активів для погашення».
Дослідники Blockworks Research підкреслили, що інцидент із Kelp виявив структурні ризики об’єднаних пулів ліквідності — втрати в одному кредитному пулі можуть бути «соціалізовані» серед усіх вкладників, що призводить до системного недооцінювання специфічних ризиків застави.
Кількісні індикатори ринкових настроїв:
За даними Gate, станом на 23 квітня 2026 року ціна токена AAVE становила 91,64 долара (–1,95 % за 24 години), обсяг торгів за 24 години — 7,76 млн доларів. Капіталізація AAVE — 1,38 млрд доларів, повністю розведена капіталізація — 1,46 млрд доларів, співвідношення ринкової капіталізації до FDV — 94,85 %. За останні 7 днів AAVE знизився на 13,81 %; за 30 днів — на 16,27 %; за рік — на 42,05 %.
Ключові точки розбіжностей:
Дискусія щодо перспектив відновлення Aave зосереджується на трьох аспектах:
По-перше, межі покриття неповернених боргів. Оптимісти вважають, що скарбниця Aave (181 млн доларів) достатня для покриття 123,7 млн доларів боргу за сценарієм 1. Песимісти ж побоюються, що у разі реалізації сценарію 2 з втратою 230,1 млн доларів дефіцит скарбниці змусить стейкерів stkAAVE покривати залишок.
По-друге, терміни відновлення ліквідності. Деякі аналітики прогнозують, що блокування пулів на 100 % може тривати кілька тижнів, протягом яких права вкладників на виведення коштів фактично «призупиняються». Інші вважають, що ставка CDOR у 15 % є найефективнішим ринковим регулятором, який поверне капітал, орієнтований на дохідність.
По-третє, сталість втрати частки ринку. Aave втратив близько 15,1 млрд доларів депозитів за 3,5 дні, тоді як Spark залучив 1,3 млрд доларів. Чи свідчить це про структурне перерозподілення ринку DeFi-кредитування — покаже час.
Вплив на індустрію: механіка арбітражного вікна CDOR і структурні висновки
Ончейн-розбір логіки арбітражу:
При ставці 15 % CDOR відкриває рідкісне арбітражне вікно для власників стейблкоїнів в історії DeFi. Основна логіка така:
Депозит USDC/USDT приносить річну дохідність близько 13,4 %, тоді як на традиційних фінансових ринках еквівалентні інструменти (наприклад, фонди грошового ринку) дають 4–5 %. Ця різниця у 8–9 процентних пунктів і є основою для арбітражу.
Однак арбітражерам слід враховувати три ключові ризики:
По-перше, ризик блокування ліквідності. Пули стейблкоїнів у Aave V3 використовуються на 100 %. Нові депозити одразу приносять високу дохідність, але виведення залежить від погашення позик або надходження нових депозитів. Це означає, що арбітражери стикаються з ризиком невідповідності строків — ціна високої дохідності полягає у невизначеності моменту виходу.
По-друге, невизначеність механізмів покриття неповернених боргів. Якщо Aave покриє борги через модуль безпеки Umbrella або кошти скарбниці, основна сума вкладників залишиться захищеною. Якщо ж втрати будуть розподілені між вкладниками, поточні високі ставки можуть не компенсувати потенційні втрати основної суми. Ця невизначеність є головною перешкодою для масштабного приходу арбітражного капіталу.
По-третє, тривалість високих ставок. Підвищені ставки спричинені дефіцитом ліквідності, а не прибутковістю протоколу. Як тільки з’являться рішення щодо неповернених боргів або відновиться довіра ринку, ставки за депозитами можуть нормалізуватися за лічені години. Арбітражерам потрібно точно оцінити тривалість цього вікна.
Структурні зрушення у конкуренції DeFi-кредитних протоколів:
Вплив інциденту з Kelp на DeFi може значно перевищити масштаби однієї атаки. Дослідники Blockworks Research зазначають, що масовий відтік депозитів з Aave може стати першим реальним проривом у його ліквідному «рву». Якщо вкладники дедалі більше сприйматимуть «ізоляцію ризиків» як окрему цінність, останні події можуть прискорити структурне перерозподілення капіталу між кредитними протоколами.
Тим часом запуск Aave V4 очікується у середині 2026 року. Він передбачає архітектуру «хаб-і-спиці» для посилення кросчейн-ліквідацій та інституційної відповідності. Часовий збіг запуску V4 та відновлення після кризи стане ключовим індикатором відновлення конкурентоспроможності Aave.
Висновок
Криза, з якою зіткнувся Aave, по суті є екстремальним стрес-тестом парадигми композиційності DeFi. Основні контракти протоколу залишилися недоторканими, але кредитні збої активів на верхньому рівні поширилися через ланцюги застав, спричинивши каскад у багатомільярдній кредитній системі. Це нагадує індустрії: у DeFi безпека протоколу залежить не лише від власного коду, а й від того, як він інтегрується з екосистемою та конструює шляхи передачі ризиків.
Стрибок CDOR до 15 % — це водночас попередження і сигнал для ринкового самовідновлення. Високі ставки виконують функцію регулятора ліквідності — вони карають надмірних позичальників, винагороджують вкладників, готових прийняти ризик блокування ліквідності, і зрештою спрямовують капітал назад. Баланс між вирішенням проблеми неповернених боргів і відновленням довіри визначатиме еволюцію Aave і всього сектору DeFi-кредитування. Для учасників ринку розуміння повної логічної ланки цієї події у довгостроковій перспективі значно цінніше, ніж гонитва за короткостроковими коливаннями ставок.
