Aave stelt twee paden voor om $230M aan slechte schulden van Kelp DAO-hack te behandelen

Alvin Lang 21 apr 2026 04:27

LlamaRisk schetst scenario's voor het toewijzen van verliezen uit de $293M Kelp DAO-exploit, waarbij Aave tot $230M aan slechte schulden kan krijgen, afhankelijk van Kelp's beslissing.

Aave's risicobeheertak heeft twee scenario's geschetst voor het opvangen van de gevolgen van zaterdag's $293 miljoen Kelp DAO-exploit—en het verschil ertussen is groot. Het ene pad laat Aave achter met $123,7 miljoen aan slechte schulden. Het andere? Een gat van $230,1 miljoen.

LlamaRisk publiceerde maandag zijn analyse, drie dagen nadat hackers 116.500 rsETH-tokens hadden leeggehaald van Kelp DAO's LayerZero-aangedreven bridge en deze onmiddellijk als onderpand op Aave V3 gebruikten om wrapped Ether te lenen. De zet creëerde een cascadeprobleem: gestolen tokens die echte leningen ondersteunen die leners geen intentie hebben om terug te betalen.

De cijfers die ertoe doen

Scenario één verspreidt verliezen over alle rsETH-houders op Ethereum mainnet en layer 2's. Slechte schuld: $123,7 miljoen. De afweging? Een depeg van ongeveer 15% in rsETH ten opzichte van ETH. LlamaRisk merkt op dat wETH-reserves "het grootste deel in absolute termen zouden absorberen, maar het nauwelijks zouden opmerken ten opzichte van de reservediepte."

Scenario twee concentreert het volledige tekort op layer 2-netwerken zoals Arbitrum en Mantle. Slechte schuld stijgt naar $230,1 miljoen—bijna het dubbele.

De uiteindelijke beslissing ligt bij Kelp DAO, niet bij Aave. Dat is schrale troost voor Aave-deposanten die toekijken hoe het protocol kapitaal verliest. Sinds de exploit is bijna $10 miljard aan totale waarde uit Aave vertrokken.

Waar Aave mee kan werken

Het protocol is niet weerloos. LlamaRisk signaleerde dat 18.922 aWETH-tokens ter waarde van ongeveer $43,7 miljoen al in de unstaking cooldown-fase zijn gekomen onder Aave's Umbrella-beveiligingsmodel—fondsen die gedeeltelijke verliezen onder het eerste scenario zouden kunnen dekken.

Aave's schatkist bevat ongeveer $181 miljoen, theoretisch genoeg om een tekort onder beide scenario's aan te pakken. Of governance zo'n inzet zou goedkeuren is een heel andere vraag.

Hoe de exploit gebeurde

Kelp DAO verschafte maandag aanvullende details. Aanvallers compromitteerden twee validator-nodes die verbonden waren met LayerZero's bridge-infrastructuur terwijl ze een derde met een DDoS-aanval troffen. Dit stelde hen in staat om een overdrachtsbericht te vervalsen dat het systeem als legitiem goedkeurde, waarbij 116.500 rsETH op de bridge werd gemint.

De hoofdoorzaak, volgens eerdere rapporten die LayerZero citeerden: een 1-of-1 Decentralized Verifier Network-configuratie. Eén gecompromitteerd node was alles wat nodig was.

Kelp's team handelde snel na detectie, door contracten op Ethereum en layer 2's te pauzeren en exploiter-wallets op een zwarte lijst te zetten. Die interventie heeft naar verluidt voorkomen dat nog eens 40.000 rsETH ($95 miljoen) werd gestolen.

Wat er nu gebeurt

Kelp DAO zegt dat het nog steeds de financiële impact beoordeelt en met Aave, LayerZero en andere belanghebbenden werkt aan een hersteltraject. Er is geen tijdlijn aangekondigd voor het hervatten van het protocol.

Voor handelaren is de onmiddellijke zorg de rsETH-prijsstelling. Een depeg van 15% onder scenario één zou arbitragemogelijkheden creëren—maar ook iedereen die rsETH als onderpand elders in DeFi houdt, vastzetten. Het besmettingsrisico dat deze exploit zo schadelijk maakte is niet voorbij; het wacht gewoon op een governance-beslissing.

• aave
• kelp dao
• defi
• rseth
• layerzero