Aave og Kelp DAO brenner utnyttelsens rsETH, $278M refill begynner

Den største koordinerte DeFi-gjenopprettingsinnsatsen i 2026 har nettopp nådd et kritisk milepæl. Aave og KelpDAO har med suksess brent utnyttelsens rsETH på Arbitrum. Det første store tekniske steget i å gjenopprette full backing for rsETH likvid restaking-tokenet. Kelp og Aave har initiert en to ukers refill-plan, som gradvis returnerer 117,132 rsETH, verdt omtrent $278 millioner, til LayerZero OFT-adapteren. Teamene forventer å gjenåpne uttak innen 24 timer etter den første trancheringen. Aave-nyheten i dag markerer vendepunktet i en gjenopprettingsinnsats som har opptatt DeFi-bransjen i nesten fire uker.

Hvordan utnyttelsen skjedde

Den 18. april 2026 utnyttet angripere en kritisk sårbarhet i KelpDAO sin LayerZero-brokonfigurasjon. Utnyttelsen målrettet en enkelt-verifiserer DVN-oppsett. Det er en 1-av-1 attestator konfigurasjon som tillot angriperne å kompromittere RPC-noder og sende falske data til broen. Hendelsen skjedde fordi en angriper svindlet mintet og distribuerte omtrent $292 millioner i ubekreftet rsETH som sikkerhet på tvers av DeFi-protokoller som Aave.

Den umiddelbare konsekvensen var alvorlig. rsETH mistet raskt sin tilknytning til USD. KelpDAO stoppet alle uttak, innskudd og brooperasjoner. Arbitrum sin sikkerhetsråd frøs 30,766 ETH knyttet til utnyttelsen. Hendelsen utløste over $7 milliarder i midlertidige DeFi TVL-utstrømninger. Det utløste en rettslig kamp da amerikanske terrorisme domstols kreditorer sendte en restriksjonsmelding i et forsøk på å beslaglegge den fryste ETH som nordkoreansk eiendom. Et krav Aave med suksess utfordret i føderal domstol.

Gjenopprettingsplanen i detalj

Den tekniske gjenopprettingen foregår i to parallelle spor. Først, de 117,132 rsETH refillene kommer fra to kilder: Aave Recovery Guardian multisig og Kelp Recovery Safe. Begge enhetene sender gradvis disse midlene inn i LayerZero OFT-adapteren på Ethereum hovednett i løpet av de neste to ukene. Kelp sikrer at rsETH alltid er fullt støttet gjennom hele denne prosessen. Uttak gjenåpnes innen 24 timer etter at den første trancheringen når adapteren.

The first set of steps in the rsETH technical recovery plan are complete, including burning the exploiter's rsETH on Arbitrum. Progressively refilling the LayerZero OFT adapter and reopening rsETH operations will follow over the coming days. https://t.co/p1tiIzp5Nr

— Aave (@aave) May 12, 2026

For det andre har BailSec allerede fullført og revidert en omfattende sikkerhetsforbedring. Verifiseringen krever nå fire uavhengige attestatorer i stedet for en enkelt verifiserer. Teamet har hevet blokkbekreftelsene fra 42 til 64. Utviklerne har også avviklet alle L2-til-L2 broveier. KelpDAO migrerer også til Chainlink sin CCIP for fremtidig infrastruktur for tverrkjede broing.

Aave-grunnlegger Stani Kulechov fanget tyngden av øyeblikket direkte. “De siste ukene, inkludert helger, har vært utrolig intense,” sa han. “Ingen av dette ville vært mulig uten hele teamet som jobbet døgnet rundt med denne gjenopprettingsinnsatsen. Vi bygger et nytt nivå av motstandskraft, og en post-mortem vil følge med nye lærdommer.”

Hva dette betyr for investorer og utviklere

For rsETH-holdere og Aave-brukere avslutter gjenåpningen av uttak innen 24 timer den mest forstyrrende perioden i KelpDAO sin historie. Spesielt vil full drift, innskudd, innløsninger, broing og krav gjenoppta når kontraktene blir gjenopptatt.

For DeFi-utviklere og protokollarkitekter etablerer KelpDAO-uavhengigheten og gjenopprettingen i stedet et nytt utgangspunkt for bro-sikkerhetsstandarder. Følgelig er enkeltverifiserer konfigurasjoner ikke lenger akseptable. Faktisk representerer multi-attestator verifisering, hevede blokkbekreftelseskrav og migrering til testet infrastruktur som CCIP den nye minimum levedyktige sikkerhetsstillingen for enhver tverrkjedeprotokoll som håndterer betydelig verdi. Til syvende og sist leverte DeFi United, og bransjen ser på hva som bygges neste.