Dit artikel is vernieuwd. Er staat nu: “Een $290 miljoen rsETH-exploit zou ervoor kunnen hebben gezorgd dat Aave V3 met slechte schuld in zijn WETH-reserve zit.” Dit is een lopend verhaal en we werken het bij zodra we meer informatie hebben.
Aave V3’s Wrapped Ether (WETH)-reserve zit met slechte schuld na een aanval waarbij KelpDAO’s rsETH liquid restaking token werd misbruikt en gebruikt als onderpand om te lenen via het leenprotocol.
Solidity-ontwikkelaar en auditor 0xQuit maakte de situatie bekend op X. Hij waarschuwde spaarders dat de WETH-pool nu eigenlijk beschadigd is, en dat gedeeltelijke opnames pas mogelijk zijn nadat Aave’s Umbrella backstop het tekort heeft opgevangen.
Hoe een leeggehaalde rsETH slechte schuld veroorzaakte bij Aave
De aanval begon toen de hacker wallets financierde via Tornado Cash. Ongeveer 116.500 rsETH werd weggehaald bij KelpDAO, wat neerkomt op meer dan $290 miljoen.
Daarna zette de aanvaller de gestolen rsETH in als onderpand bij Aave V3 en leende vervolgens een grote hoeveelheid WETH.
Omdat de rsETH na deze drainage niet meer gedekt was, konden deze posities niet geliquideerd worden. Hierdoor zit Aave vast met WETH-schuld die niet via een normale liquidatie verhaald kan worden.
“Had graag beter nieuws gehad, maar het lijkt erop dat WETH op aave verloren is. Neem je middelen op als het nog kan, maar het is waarschijnlijk al te laat,” waarschuwde 0xQuit, Solidity-ontwikkelaar en auditor.
De rsETH-markten op Aave V3 en Aave V4 zijn bevroren. Aave laat weten dat de contracten zelf niet zijn gehackt, omdat dit incident alleen met rsETH te maken heeft.
“Het bevriezen van de rsETH-markten voorkomt nieuwe stortingen en leningen met rsETH als onderpand terwijl de situatie onderzocht wordt. We bekijken welke leningen met rsETH op Aave zijn afgesloten na de aanval… als het protocol slechte schuld oploopt door dit incident, kunnen Umbrella-assets gebruikt worden om het tekort op te vangen,” meldde Aave.
Wat Umbrella betekent voor WETH-spaarders
Het Umbrella-systeem van Aave, dat eind 2025 het oude Safety Module-systeem verving, is juist ontworpen voor dit soort situaties.
Gebruikers die aWETH hebben gestaked in de Umbrella-vault krijgen automatisch een deel van hun inzet afgenomen om het tekort te dekken.
Als de slashing-cyclus klaar is, kunnen de overgebleven WETH-spaarders weer voor een deel hun WETH opnemen.
Een volledig herstel is niet zeker, en depositohouders kunnen een afschrijving op hun balans krijgen.
Dit is de eerste grote echte test voor de geautomatiseerde schuldafdekking van Umbrella. Er ontstaan hierdoor nieuwe vragen over de risico’s van het goedkeuren van liquid restaking tokens als onderpand op leenplatforms.
Intussen bevestigde het Upshift-team, dat non-custodial vaults aanbiedt voor het beheren van getokeniseerde crypto-assets, dat zij geen enkele blootstelling hebben aan rsETH.
“We staan in contact met KelpDAO over een mogelijk rsETH-exploit. Uit voorzorg heeft het Kelp-team besloten om tijdelijk stortingen en opnames te pauzeren bij de High Growth ETH- en Kelp Gain-vaults gedurende het onderzoek. De Upshift USDC-, Core USDC- en EarnAUSD-vaults hebben nul blootstelling aan rsETH. We geven updates zodra we meer horen van het Kelp-team,” schreef Upshift.
