Представьте себе банк, который внезапно обнаруживает, что залоги в его хранилище — фальшивые. А клиенты уже успели под них взять реальные деньги. Примерно это и произошло на прошлой неделе в одном из столпов децентрализованных финансов — протоколе Aave. Цена его токена рухнула на 16%, а из пулов ликвидности испарилось колоссальные $6 миллиардов. Виной всему — изощрённая атака на другой протокол, Kelp, которая вскрыла системные риски, о которых многие предпочитали не думать.
Цепная реакция: от Kelp к Aave
Всё началось не с самого Aave. Злоумышленники атаковали протокол liquid staking Kelp, выкачав из него токены rsETH. Но на этом они не остановились. Зачем просто красть, если можно заработать вдвойне?
А вот здесь и появляется наша главная «жертва». Украденные rsETH хакеры заложили в качестве коллатерала именно в Aave. А под этот, по сути, «фантомный» залог взяли в долг настоящие wrapped ether (wETH). Гениально и просто: использовать одну дыру в безопасности, чтобы создать другую, куда более масштабную проблему.
Интересно, что сам Aave технически не был взломан. Его смарт-контракты работали как часы. Они честно приняли токены rsETH, которые на тот момент ещё не были признаны недействительными. И так же честно выдали под них кредит. Протокол стал жертвой цепной реакции, «тихого» кризиса доверия. Когда пользователи увидели, что в системе появились проблемные активы, началась паника. Депозиты стали изымать лавинообразно.
Структурная трещина: проблема «токенизированного залога»
Этот инцидент — не просто очередной хак. Он как рентген высветил фундаментальную уязвимость всей экосистемы DeFi — взаимосвязь протоколов. Aave, как и другие кредитные площадки, полагается на то, что принимаемые в залог активы имеют реальную ценность. Но что, если эта ценность исчезает в другом месте?
Токен rsETH после атаки на Kelp мгновенно обесценился. Но в момент его внесения в Aave он всё ещё выглядел легитимным. Система не успела среагировать. Получается, безопасность Aave оказалась заложником безопасности Kelp и десятков других интеграций. Где гарантия, что завтра не рухнет следующий «кирпич» в этой стене?
Сейчас команда Aave ломает голову над главным вопросом: какой объём «плохих долгов» теперь висит на балансе протокола? Кто и как будет их покрывать? Ответы на эти вопросы определят не только будущее Aave, но и доверие ко всей модели децентрализованного кредитования.
Что это значит для России
А что у нас дома? Ситуация с Aave — это громкое предупреждение и для российского крипторынка, и для регуляторов, работающих над цифровым рублём. Пока мы обсуждаем пилотные транзакции ЦБ, в мире уже сталкиваются с комплексными рисками цифровых активов второго и третьего порядка.
Цифровой рубль, по задумке, будет централизованным и контролируемым. Это сводит на нет риск подобных цепных реакций. Но с другой стороны, это же и его ограничение. DeFi-сектор в России, который существует в серой зоне, как раз построен на подобной взаимосвязи протоколов. История с Aave показывает: без чётких правил игры и механизмов быстрого реагирования на инциденты любой локальный взрыв может обрушить хрупкую экосистему.
Российские разработчики, создающие DeFi-продукты, должны смотреть на этот кейс как на учебник по риск-менеджменту. А регуляторам он лишний раз доказывает, что изолировать финансовую систему от глобальных криптоштормов будет невероятно сложно.
Прогноз редакции
Мы считаем, что этот случай станет точкой перелома. DeFi-протоколы начнут жёстче аудировать не только свой код, но и активы, которые они принимают, а также «здоровье» связанных с ними проектов. В ближайший год нас ждёт волна новых страховых продуктов и механизмов экстренного «замораживания» для минимизации таких каскадных эффектов. Без этого следующий крупный взлом может поставить крест на всей идее децентрализованных финансов.
