2.92 миллиардов долларов урок: взгляд на безопасность DeFi через кражу rsETH

Написано: Лю Цзяо Лян

Введение: удачное совпадение

18 апреля 2026 года мост rsETH проекта Kelp DAO был взломан, украдено активов на сумму примерно 292 миллиона долларов. Злоумышленник положил украденный rsETH в Aave, взял взаймы ETH, вызвав паническую волну по плохим долгам. Использование ETH на Aave мгновенно достигло 100%, и средства множества невиновных вкладчиков были заблокированы.

А Цзяо Лян за два месяца до этого, 5 февраля, только что перевел все депозиты с Aave на Spark. Мотивация была проста: доходность Spark чуть выше, чем у Aave. В результате он случайно избежал этой кризисной ситуации.

Это не предвидение, не способность судить — чистая удача. Но эта удача заставила Цзяо Лян серьезно задуматься: сможет ли он снова так же повезти?

Воспользовавшись этим событием, Цзяо Лян оглянулся на свои ошибки, уроки, извлеченные в мире DeFi, и свои финальные размышления, изложенные ниже.

I. 2026.4.18: как бабочка взмахом крыльев вызывает ураган

1.1 Сам взлом

18 апреля в 17:35 UTC злоумышленник с контролируемого кошелька вызвал контракт EndpointV2 LayerZero, активировав мост межцепочечного протокола Kelp DAO, в результате чего было отправлено 116 500 rsETH на адрес злоумышленника. По текущей рыночной цене это примерно 292 миллиона долларов. [1]

Кошелек злоумышленника за 10 часов до этого получил средства через пул Tornado Cash на 1 ETH — распространенный способ маскировки средств в DeFi атаках.

Реакция Kelp DAO не была медленной. Через 46 минут после атаки их экстренный мультиподписанный кошелек вызвал pauseAll, заморозив основной контракт и предотвратив две последующие попытки украсть еще около 100 миллионов долларов. [1]

1.2 Передача риска в Aave

Но настоящая буря разразилась не в Kelp DAO, а в более известном протоколе кредитования Aave.

Злоумышленник положил украденный rsETH в Aave в качестве залога и взял взаймы ETH. Этот шаг превратил внешнюю атаку в внутренний риск плохого долга внутри Aave. [2]

Рынок быстро отреагировал. Могучие китовые инвесторы начали выводить ETH из Aave. Согласно мониторингу Lookonchain, использование ETH на Aave быстро достигло 100% — это означает, что в пуле почти не осталось ETH для вывода или новых займов. [2]

Невиновные пользователи, которые никогда не сталкивались с rsETH и просто хранили ETH, тоже оказались заблокированы.

Это цена совместных пулов кредитования: вам не нужно напрямую контактировать с плохим активом, достаточно быть в одном пуле — и вас тоже заденет.

1.3 Внутренние риски неконтролируемого кредитования

Основатель Curve Майкл Егоров в комментарии после инцидента отметил: это — присущая рискованной модели неконтролируемого кредитования. Хорошая масштабируемость, но повышенные риски. Управление рисками — ключ. В этом Aave показывает хорошие результаты. [3]

Его подразумевание: эта проблема заложена в самой модели, и не является уникальной у Aave.

Цзяо Лян считает, что это правильное суждение. Но проблема в том, что обычным пользователям трудно заранее понять, когда риск станет реальностью.

II. Конфликт: слова против действий

2.1 Разделение успокоения и действий

Официальный представитель Aave заявил, что ситуация под контролем, и модуль безопасности Umbrella может служить первой линией защиты. [1]

Но настоящая дискуссия разгорелась вокруг поведения Андре Кронье (AC).

AC в твите заявил: у Aave есть 7 миллиардов долларов ETH, из которых украдено всего 100 миллионов — влияние минимально. Даже при плохом долге, модуль безопасности Aave и токен AAVE — первая линия защиты. [4]

Тем временем, его созданный протокол PUT снял все ETH с Aave. Он объяснил: цель PUT — обеспечить ликвидность пользователей, а доступная ликвидность на Aave упала ниже минимального порога, что является правилом, а не признаком банкротства. [4]

С точки зрения правил, он не ошибся. Но со стороны наблюдателя создается впечатление: одна говорит, а делает по-другому.

2.2 История всегда рифмуется

Это не первый раз.

В мае 2022 года произошел крах Luna. Do Kwon после потери связи UST повторял: не паниковать, алгоритм восстановится. Верившие ему оказались обмануты.

В ноябре 2022 года FTX обанкротился. SBF после паники заявил, что активы в порядке, FTX — здоров. Верившие ему тоже оказались обмануты.

У Цзяо Ляна есть друзья, у которых много средств на FTX. Увидев одновременно панические и успокаивающие сообщения, он решил вывести деньги. Позже он сказал, что тогда не знал, обанкротится ли FTX, но понимал: если да — убежать уже нельзя. Поэтому он решил уйти первым.

Этот логика — то, что должны помнить обычные пользователи в кризисных ситуациях: не ставьте под угрозу свою безопасность, строя стены. Стена может рухнуть, и вы этого не узнаете. Лучше не стоять под ней.

III. Два опыта Цзяо Ляна: от ловушки к удаче

3.1 Первый случай: блокировка Compound

В ноябре 2025 года Цзяо Лян положил USDC в Compound. Он не трогал deUSD и не знал, что такое xUSD.

Но 4 ноября команда xUSD призналась в убытках в 93 миллиона долларов и объявила о потере связи deUSD. Compound принял deUSD в качестве залога. В 5 утра был срочно остановлен вывод средств. [5]

Деньги Цзяо Ляна оказались заблокированы.

Тогда он писал в статье: можно было спокойно и уверенно вывести средства за день до этого, чтобы избежать риска. Но внезапно приостановка вывода лишила его возможности быстро и безопасно уйти. [5]

К счастью, масштаб плохого долга был всего несколько миллионов долларов, и благодаря модулю безопасности все закончилось благополучно.

Но Цзяо Лян усвоил урок: риск — это передаваемое явление. Не обязательно напрямую контактировать с плохим активом, достаточно быть в одном пуле — и вас тоже заденет.

3.2 Второй случай: уход с Aave

5 февраля 2026 года Цзяо Лян перевел депозиты с Aave на Spark.

Причина очень проста — доходность Aave снизилась, а у Spark чуть выше. Он просто переместил деньги из менее доходного места в более доходное.

Это — обычная практика в обычные дни. Цзяо Лян не предвидел, что через два месяца Aave столкнется с проблемами, не анализировал риски rsETH и не имел инсайдерской информации.

Но в итоге он случайно избежал кризиса Aave в апреле.

Цзяо Лян считает это удачей. Но он также задается вопросом: есть ли в этой удаче какая-то закономерность?

3.3 Сравнение двух случаев

Первый — пассивная ловушка, случайное спасение. Второй — активное перемещение, случайное избегание риска.

Нет необходимости спорить о правильности решений — главное, сохранять ликвидность. Тогда можно случайно избежать некоторых проблем.

Но это не долгосрочный план. Как говорится, кто часто ходит по реке, тот обязательно намочит ноги.

IV. Новое поле битвы: непрозрачность Spark вне цепочки

4.1 Временное убежище

После ухода с Aave Цзяо Лян перевел часть средств в Spark.

Что такое Spark? Это слой ликвидности — автоматический распределитель капитала, который автоматически распределяет USDS, sUSDS, USDC и другие активы по различным протоколам DeFi и RWA для оптимизации доходности. [6]

4.2 Структура активов

По данным Spark, общий актив слоя ликвидности составляет около 2,1 миллиарда долларов.

Цзяо Лян заметил, что более 90% активов — это цепочные стабильные монеты, за которыми можно проследить. Но около 7% активов — это активы, хранящиеся у Anchorage — это внецепочечные активы, недоступные для обычных пользователей.

4.3 Обмен рисками

Цзяо Лян считает, что переход с Aave на Spark — это не повышение безопасности, а обмен рисками.

В протоколах вроде Aave или Compound риски относительно прозрачны: что за залог, какая ликвидационная граница, код открыт. Источник риска — рыночные колебания или атаки.

В Spark риски добавляют новые измерения: институциональное хранение, RWA, непрозрачные стратегии. Вы не знаете, что именно делает Anchorage с 150 миллионами долларов, и не можете отслеживать каждую операцию в реальном времени.

Это не означает, что Spark опасен. С момента запуска Spark управляет более чем 4 миллиардами долларов и не зафиксировано ни одной безопасности. Цзяо Лян хочет сказать: любой протокол — это риск, только разного типа. Обычные пользователи должны знать, с каким риском они имеют дело, а не слепо верить, что протокол навсегда безопасен.

V. Исторические уроки: четыре вывода

Цзяо Лян собрал все кризисы DeFi, которые он видел и пережил, и создал таблицу:

[таблица]

Из этих четырех событий он выделил четыре урока:

Первый: не ставьте под угрозу свою безопасность. При появлении тревожных сигналов предположите, что стена может рухнуть, и выйдите. Если стена не рухнула — вы потеряли немного газа и несколько дней процентов. Если рухнула — сохранили весь капитал.

Второй: не верьте только словам, смотрите на действия. Любое успокоение от лидеров или основателей должно подтверждаться их действиями. Говорит — не значит делает. Действия — ответственность.

Третий: сохраняйте ликвидность. Никогда не ставьте себя в ситуацию, когда не сможете сбежать. Использование 100% utilization — яркий сигнал: когда вы захотите уйти, уже поздно.

Четвертый: понимайте обмен рисками. Перед выбором протокола спрашивайте себя: что я получу взамен, какие новые риски принимаю? Прозрачные цепочные риски против внецепочечных институциональных, рыночных колебаний против ошибок стратегии — нет абсолютной безопасности, только разные типы рисков.

VI. Финальный вывод: выход из игры

6.1 Почему нужно выходить

Цзяо Лян понял: пока вы гоняетесь за доходом, вы всегда подвержены рискам.

В Aave — это риск внутри совместных пулов. В Spark — риск внецепочечного институционального хранения. В стабильных монетах — риск эмитента и регулирования. В обернутом BTC — риск хранения и межцепочечных мостов.

Меняя протокол, вы меняете риск. Это не улучшение — это обмен.

6.2 План Цзяо Ляна

Использовать текущий медвежий рынок, чтобы постепенно перевести все или большую часть средств в DeFi в цепочный BTC.

Это не wBTC, не cbBTC, не любые обернутые активы. Это — нативный BTC. Он хранится в собственном полном контроле у пользователя.

Цзяо Лян считает, что это — единственный актив в криптомире, не требующий доверия к третьим лицам.

Не зависит от кода протокола, команды, залога или хранения. Единственная зависимость — способность хранить приватный ключ.

6.3 Цена и ответственность

Цепочный BTC не приносит процентов — это цена.

Риск управления приватным ключом переходит к пользователю — это ответственность.

Процесс конвертации тоже связан с рисками и требует осторожности.

Цзяо Лян готов принять эти издержки, потому что, по его мнению, безопасность без доверия — стоит тех процентов годовых, которые можно потерять.

6.4 Последнее слово

Мы пришли в криптомир, чтобы найти место, где не нужно доверять банкам. Обошли все, поверили коду, команде, модулям безопасности, словам лидеров…

И в итоге поняли: настоящий финал — вернуться к самому простому началу: хранить свои биткоины самостоятельно.

Источники:

[1] The Block, “Криптовалютный мост rsETH проекта Kelp DAO, предположительно, был взломан на сумму около $292 миллионов в атаке на базе LayerZero”, 18 апр. 2026

[2] Lookonchain, пост в X о достижении 100% использования ETH на Aave, 19 апр. 2026

[3] Майкл Егоров, пост в X о рисках неконтролируемого кредитования, 19 апр. 2026

[4] Андре Кронье, пост в X о решении вывести PUT, 19 апр. 2026

[5] Лю Цзяо Лян, “Бабочка и шторм”, 5 нояб. 2025. [ссылка]

[6] Spark, официальные данные слоя ликвидности Spark