Aave и CoW Swap публикуют дуэльные пост-мортемы после DeFi-катастрофы со свопом на $50 миллионов

В субботу Aave и CoW Swap опубликовали отдельные пост-мортемы о свопе от 12 марта, в ходе которого пользователь конвертировал более $50 миллионов в aEthUSDT в aEthAAVE примерно на $36 000 через виджет свопа на базе CoW Swap в интерфейсе Aave. Этот инцидент широко считается крупнейшей потерей при исполнении такого рода в истории DeFi.

Обе версии в целом сходятся в основных фактах, но расходятся в акцентах и тоне. Анализ Aave представил потерю прежде всего как следствие «неликвидного рынка», проводя техническое различие между ценовым воздействием и проскальзыванием. Пост-мортем CoW Swap нарисовал более сложную картину, указав на цепочку накапливающихся сбоев инфраструктуры, из-за которых итоговое исполнение оказалось значительно хуже, чем предполагали даже уже крайне неблагоприятные первоначальные котировки.

Что раскрыл CoW Swap

Согласно отчету CoW, потеря стала результатом «ордера fill-or-kill на неликвидной паре при экстремальном объеме, системы верификации котировок с устаревшим потолком газа, которая отклоняла котировки с лучшей ценой, победившего солвера, который впоследствии не смог исполнить ордер ончейн, и транзакции, которая могла утечь из приватного мемпула».

Во время начальной фазы котирования ответили три солвера, то есть обеспеченные залогом сторонние исполнители, совершающие сделки от имени пользователей. Лучшие непроверенные котировки вернули бы примерно $5–6 миллионов в AAVE за ордер на $50 миллионов, что все равно означало бы потерю примерно 90%. Но система верификации котировок применяла жестко заданный потолок в 12 миллионов единиц газа, который CoW описал как «унаследованный код, появившийся до нынешних моделей потребления газа», из-за чего маршруты с лучшей ценой не проходили проверку. CoW отметил, что с тех пор исправил этот жестко заданный лимит газа.

Единственная котировка, прошедшая верификацию, поступила от «Solver A», предлагавшего примерно 329 AAVE, что было примерно в 150–200 раз хуже непроверенных альтернатив. Именно эта котировка была использована для установки лимитной цены ордера.

Затем ситуация ухудшилась во время исполнения. Солвер, которого CoW обозначил как «Solver E», нашел более выгодный маршрут и выиграл два последовательных аукциона, но не смог провести ни одну из транзакций ончейн. Ончейн-ревертов зафиксировано не было, а значит, транзакции так и не были отправлены. После двух неудач Solver E полностью прекратил участие в торгах, оставив постепенно ухудшавшуюся заявку от более слабого солвера единственным оставшимся вариантом.

«В системе аукционов нет механизма для обнаружения или эскалации такого паттерна», — отметил CoW в своем пост-мортеме. «Эта последовательность представляет собой накапливающийся сбой: солвер с лучшим маршрутом дважды побеждал, но не мог исполнить сделку, затем отказался от ордера, оставив худшее исполнение единственным оставшимся вариантом».

Посмертный отчет CoW также отметил признаки возможной утечки из мемпула. Несмотря на то, что транзакция была отправлена через приватный RPC, Etherscan отобразил метку «подтверждено в течение 30 секунд» — маркер, который появляется только тогда, когда транзакция наблюдается в публичном мемпуле до включения в блок. CoW заявила, что утечка, вероятно, позволила осуществить значительную backrun-активность, наблюдавшуюся в блоке исполнения. Это расследование продолжается, сообщили в CoW.

Версия Aave

Посмертный отчет Aave был сосредоточен на динамике неликвидного рынка и решении пользователя продолжить, несмотря на предупреждения. В отчете подробно описан ончейн-маршрут: солвер CoW Swap погасил пользовательские aEthUSDT в обмен на обычные USDT в Aave V3, обменял USDT на WETH через пул Uniswap V3, а затем направил WETH через пул SushiSwap AAVE/WETH, который содержал примерно $73 000 совокупной ликвидности.

Aave подчеркнула, что виджет обмена отображал предупреждение с текстом «Высокое ценовое воздействие (99,9%)» и требовал от пользователя поставить галочку, подтверждая, что он принимает потенциальную потерю 100% стоимости. Согласно посмертному отчету, внутренняя аудиторская запись подтвердила, что пользователь вручную подтвердил предупреждение на мобильном устройстве. Средства удерживаются для пользователя, который не связывался с командой.

В ответ Aave заявила, что внедряет «Aave Shield», который по умолчанию блокирует любой обмен с ценовым воздействием выше 25%. Пользователи, которые хотят продолжить, должны вручную перейти в настройки и отключить эту защиту.

Показатель комиссии пересмотрен в сторону снижения

Одна примечательная деталь в посмертном отчете Aave — это размер комиссии. 12 марта Кулечов заявил, что команда попытается вернуть примерно $600 000 комиссий. Теперь в посмертном отчете фактическая комиссия за обмен указана на уровне $110 368 на основе комиссии в 25 базисных пунктов, которую можно проверить в метаданных CoW Swap; более ранняя цифра названа «первичной грубой оценкой».

Эта структура комиссии в 25 базисных пунктов — та же самая, что находится в центре продолжающегося спора об управлении о том, поступали ли комиссии за обмены от интеграции Aave с CoW Swap в казну Aave DAO или на приватный адрес, контролируемый Aave Labs. Эта полемика, начавшаяся в декабре 2025 года, когда делегат Orbit обратил внимание на проблему, с тех пор подпитывает более широкие дискуссии об управлении протоколом, предложение «ядовитой пилюли» о поглощении Aave Labs и уход Aave Chan Initiative, одного из самых заметных поставщиков услуг DAO.

Извлечение MEV, не затронутое обеими сторонами

Ни в одном из двух разборов инцидента не были подробно описаны MEV-боты, получившие прибыль от этой сделки. Анализ ончейн-данных, проведенный Arkham Intelligence, показал, что билдер блоков Titan Builder извлек из транзакции примерно $34 млн в ETH, в то время как отдельный MEV-бот заработал около $9,9 млн с помощью сэндвич-атаки, согласно отчетам.

В разборе инцидента CoW отмечалось, что после исполнения последовала «значительная backrun-активность», и были перечислены пять лучших адресов по объему полученного ETH в этом блоке, однако термин «сэндвич-атака» не использовался, как и не были подробно описаны механики MEV.

Аспект с MEV примечателен, учитывая, что интеграция CoW Swap с Aave частично продвигалась как решение с защитой от MEV. Когда партнерство было расширено в декабре 2025 года, команды описывали его как обеспечивающее защиту от «фронтраннинга и сэндвич-атак благодаря MEV-устойчивому исполнению».

Разбор инцидента CoW был выдержан в заметно более самокритичном тоне, чем у Aave: в нем говорилось, что «техническая корректность не является тем пределом, к которому мы должны стремиться», а также признавалось, что флажок подтверждения — это «грубый инструмент, когда на кону $50 млн».

Пользователь, который выполнил этот своп, по-видимому, не связывался ни с одной из команд. Скандал со свопом произошел всего через два дня после того, как Aave столкнулась с отдельным инцидентом, связанным с некорректной настройкой оракула, что привело примерно к $26 млн несправедливых ликвидаций wstETH по 34 аккаунтам.

Отказ от ответственности: The Block — независимое медиа, публикующее новости, исследования и данные. По состоянию на ноябрь 2023 года Foresight Ventures является мажоритарным инвестором The Block. Foresight Ventures инвестирует в другие компании в криптовалютной сфере. Криптобиржа Bitget является якорным LP для Foresight Ventures. The Block продолжает работать независимо, чтобы предоставлять объективную, значимую и своевременную информацию о криптоиндустрии. Вот наши текущие финансовые раскрытия.

© 2026 The Block. Все права защищены. Эта статья предоставляется исключительно в информационных целях. Она не предлагается и не предназначена для использования в качестве юридической, налоговой, инвестиционной, финансовой или иной консультации.