Збій оракула Aave спричинив ліквідації на $21,7 млн у DeFi

10 березня технічна помилка конфігурації в інфраструктурі оракула Aave призвела до примусових ліквідацій, піддавши стрес-тесту залежність DeFi (Децентралізовані фінанси) від автоматизоване управління ризиками систем.

Подія ліквідації на $21,7 млн на Aave

Користувачі Aave зазнали приблизно $21,7 млн збитків від ліквідацій 10 березня після того, як ончейн обмеження в агенті ризиків Wrapped stETH (wstETH) призвело до заниження вартості активи забезпечення. Загалом було ліквідовано 34 акаунти, оскільки протокол оцінив wstETH приблизно на 2,85% нижче його реальної ринкової ціни.

Протокол зрештою не поніс поганих боргів і виплатив компенсація постраждалим користувачам. Однак подія виявила структурні слабкості в тому, як автоматизоване управління ризиками DeFi виконує зміни без втручання людини. Вона також показала, наскільки швидко неправильно налаштований параметр може призвести до масштабних ліквідацій здорових позицій.

Згідно з даними після інциденту, користувачі, які тримали wstETH як забезпечення проти боргу WETH, здавалися недостатньо забезпеченими лише через неправильну оцінку. Більше того, їхні позиції залишилися б безпечними за фактичними ринковими цінами, підкреслюючи, що збій був інфраструктурним, а не викликаним ринком.

Механіка збою CAPO

Інцидент виник у системі CAPO (Correlated Asset Price Oracle) Aave, створеній для захисту від маніпуляцій активами з корельованими цінами, такими як wstETH і stETH. CAPO отримує співвідношення wstETH/stETH від Lido, застосовує захисне обмеження через WstETHPriceCapAdapter, потім помножує результат на ціну ETH для отримання оцінки в USD.

12:47 UTC 10 березня офчейн движок Edge Risk від Chaos Labs рекомендував оновити максимальну ціну CAPO до 1,1933947 wstETH/ETH. У той момент фактичне ринкове співвідношення становило 1,2285, що означало, що запропоноване обмеження вже було істотно нижче поточних цін.

AgentHub від BGD виконав цю рекомендацію одним блоком пізніше через свою систему Oracle Automation, без будь-якого буфера перевірки між офчейн рекомендацією та ончейн впровадженням. Тобто цей миттєвий конвеєр якраз і перетворив помилку конфігурації на подію, що негайно вплинула на користувачів.

Результуюче 2,85% невідповідності спричинило недооцінку протоколом забезпечення wstETH. В результаті акаунти, які повинні були бути безпечними згідно з реальними ринковими даними, були позначені як недостатньо забезпечені та ліквідовані. Каскад обробив 10 938 wstETH через 34 акаунти та згенерував приблизно 512 ETH у вигляді бонусів за ліквідацію для ліквідаторів до того, як проблему було виявлено та виправлено.

Технічна першопричина: невідповідність знімку

Технічний збій випливав із невідповідності параметрів між snapshotRatio і snapshotTimestamp усередині CAPO. Офчейн агент ризиків Chaos Labs розрахував цільове співвідношення приблизно 1,2282, прив'язане до 7-денного знімку. Однак ончейн система обмежувала швидкість зміни співвідношення.

Згідно з захисними правилами CAPO, попереднє ончейн значення приблизно 1,1572 могло зростати лише на 3% кожні 3 дні. На практиці це означало, що співвідношення могло зрости лише приблизно до 1,1919 за одне оновлення, навіть якщо офчейн ціль відхилилася вище. Більше того, оновлення не узгодило ці обмеження з логікою мітки часу.

snapshotTimestamp було встановлено так, ніби ончейн прив'язка вже відображала 7-денне офчейн співвідношення 1,2282. Це створило критичну невідповідність між часовими та ціновими посиланнями. Як наслідок, CAPO обчислив максимальний обмінний курс приблизно 1,1939, приблизно на 2,85% нижче справжнього ринкового курсу 1,2285.

Цей інцидент став першим автоматизованим оновленням, переданим ончейн агентом ризиків CAPO Risk Agent від Chaos Labs після його розгортання. Тобто той факт, що перше виконання призвело до ліквідацій користувачів, зробив помилку конфігурації особливо тривожною як для управління, так і для користувачів.

Автоматизований ланцюг виконання від Edge Risk до AgentHub

Edge Risk — це власний офчейн движок ризиків Chaos Labs, який готує та передає зміни параметрів із призначеної адреси. AgentHub, розроблений BGD, прослуховує ці зміни за допомогою Oracle Automation і потім поширює їх на протокол.

Помилкова зміна параметра пройшла через автоматизований стек ризиків Chaos Labs у послідовності з двох транзакцій. Спочатку движок Edge Risk рекомендував змінити обмеження на 1,191926 wstETH/ETH у транзакції 0xfbafeaa8c58dd6d79f88cdf5604bd25760964bc8fc0e834fe381bb1d96d3db95. Потім AgentHub виконав зміну одним блоком пізніше через транзакцію 0x32c64151469cf2202cbc9581139c6de7b34dae2012eba9daf49311265dfe5a1e.

Щоденні ліквідації на Aave у лютому були відносно помірними, рідко перевищуючи $5 млн, оскільки ринкові умови залишалися стабільними. Стрибок 10 березня до $21,6 млн виділяється як ізольований викид, приблизно у 4 рази вище типових рівнів. Більше того, обсяги ліквідацій швидко повернулися до базового рівня після корекції, підтверджуючи, що стрес виник від шляху оракула, а не від ширшої неплатоспроможності протоколу.

Така поведінка посилила висновок про те, що проблема ціноутворення wstETH була дискретним збоєм конфігурації. Це не був симптом погіршення якості забезпечення, проблем з ліквідністю або системного делевериджу в екосистемі Aave.

Виявлення, пом'якшення та план компенсації ліквідації

Помилку конфігурації було виявлено протягом кількох хвилин, що спонукало прискорену реакцію на інцидент від команди Aave та її постачальників ризиків. Щоб обмежити подальше зростання експозиції, ліміти позик wstETH як на Aave Core, так і на Aave Prime були негайно знижені до 1, фактично заморозивши нову активність позик під цей актив.

Завдяки ручному втручанню Risk Steward, команда переузгодила snapshotRatio із поточним snapshotTimestamp, відновивши канал оракула до правильного значення. Корекцію оракула було передано через транзакцію 0xb883ad2f1101df8d48f014ba308550f3251c2e0a401e7fc9cf09f9c2a158259d, тоді як зміни ліміту позик для встановлення ємності позик wstETH на 1 wstETH було виконано через транзакцію 0x34f568b28dbcaf6a8272038ea441cbc864c8608fe044c590f9f03d0dac9cf7f8.

Незважаючи на примусовий продаж, протокол не поніс поганих боргів і опублікував детальний аналіз після інциденту на форумах управління Aave. Однак втрати користувачів від ліквідацій вимагали окремої політичної відповіді, що зрештою призвело до структурованого плану компенсації ліквідації.

Для компенсації постраждалим акаунтам Aave повернув 141,5 ETH у вигляді бонусів за ліквідацію через відшкодування BuilderNet. Скарбниця DAO потім покрила решту розриву, при цьому загальне відшкодування користувачам було обмежено 358 ETH. Важливо, що план було реалізовано через прямий Aave Improvement Proposal (AIP), забезпечуючи постраждалим користувачам отримання повної компенсації, незважаючи на те, що помилка виникла в інфраструктурі.

Ринковий контекст навколо інциденту 10 березня

Кросчейн активність на Aave показала міцне зростання користувачів протягом лютого–березня. Наприклад, Avalanche зареєстрував 38 445 користувачів, які вносили депозити, 10 лютого, тоді як Base зафіксував 31 763 користувачів, які вносили депозити, 6 березня, лише за чотири дні до події ліквідації, спричиненої оракулом.

Ці стрибки підкреслюють зростання залученості користувачів у мережах, підтримуваних Aave, навіть коли протокол долав складний технічний інцидент. Більше того, загальні депозити та позики Aave залишалися стабільними протягом початку 2026 року, що свідчить про те, що довіра до основного дизайну протоколу істотно не послабла після події.

Стабільність депозитів у поєднанні зі швидкою нормалізацією ліквідацій підкреслює, що неправильне ціноутворення wstETH виникло через проблеми конфігурації, а не через фундаментальний стрес на ринках забезпечення. Тобто ризик концентрації в постачальниках автоматизації та шляхах оракулів залишається структурною проблемою для платформ DeFi масштабу Aave.

Управління, прозорість і майбутнє автоматизованого виконання оракулів

Інцидент 10 березня ілюструє компроміси управління, створені автоматизованим виконанням оракулів у великих протоколах кредитування DeFi. Edge Risk від Chaos Labs рекомендував обмеження нижче ринку, AgentHub від BGD виконав його одним блоком пізніше, а ліквідації послідували протягом хвилин, залишивши майже немає часу для втручання людини.

Aave відповів швидким виявленням, рішучими коригувальними діями та повною компенсацією користувачам, частково профінансованою скарбницею DAO. Однак епізод виявив недоліки в передвиконавчій перевірці та підкреслив ризики надмірної залежності від єдиного, власного движка ризиків. Зокрема, закритий характер обчислень Chaos Labs Edge Risk обмежує незалежну перевірку та надає значний оперативний контроль зовнішнім постачальникам послуг.

Оскільки все більше протоколів DeFi впроваджують автоматизовані структури CAPO Risk Agent і подібні системи, інцидент показує, що управління повинно включати надійне тестування, чіткі вікна перевірки та прозорий нагляд. Більше того, ширша архітектура оракула Aave, ймовірно, потребуватиме додаткових рівнів безпеки, таких як багатоджерельні перехресні перевірки або поетапні механізми розгортання, щоб гарантувати, що майбутні технічні помилки не призведуть безпосередньо до втрат користувачів.

Підсумовуючи, ліквідації 10 березня не були ринковою кризою, а тестом управління та інфраструктури на стрес. Поєднання автоматизації, швидкого виконання та непрозорого моделювання ризиків підкреслює, чому протоколи DeFi повинні балансувати ефективність із прозорими, перевіреними заходами безпеки для захисту користувачів.