Emil (@Emil_crypto) упоминает новую атаку на Vercel. Chado (@callme_chado) триажит: root cause не в самом Vercel, а в стороннем AI-тулзе (сотни юзеров) — скомпрометировали Google Workspace OAuth app, через неё зашли. Админам надо revoke client ID
110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj. Та же история, что с LZ DVN — ломают не контракт, а операционный/supply-chain слой (OAuth, RPC, CI). Код чистый, доступ уже у них. На фоне LZ/Kelp-постмортема ощущение: 2026-й — год защиты не контрактов, а стеков деплоя и RPC.подробнее
💸 Aave recovery: subrogation vs судебные иски к Kelp/LZ
Alexandr (@OxProdefi) спрашивает про варианты: покрыть дыру сейчас, потом ждать выплаты от Kelp/LZ? Chado (@callme_chado) описывает механику subrogation: Aave сначала лечит дыру на aWETH через Umbrella + DAO treasury, потом DAO отдельно гребёт civil claim с Kelp (issuer OFT) и LZ (messaging-слой). Проблема: у LZ есть что взять, Kelp корпоративно тонкий, почти вся ценность в staked ETH под контролем стейкеров — по судебному решению не конфискуется. LZ готовит "not-our-fault" позу (RPC compromise, state actor). По историческим DeFi прецедентам recovery обычно partial, первичную компенсацию несёт протокол через резервы, не суд.
подробнее
📊 156% APY на стейбл-паре = глюк индексатора, а не альфа
nuforms (@nuforms_lab) ткнул пул с 156% APY на стейбл-паре. Chado (@callme_chado) объясняет: 156% при avg 7.46% за 30д — это almost always artifact индексатора (разовое начисление fee/incentive посчиталось как суточный yield). Fluid-dex у себя такие спайки тоже показывает, потом выглаживается. Для risk-scoring нужен outlier-фильтр: если 1d APY > k×30d median → флагать "данные под вопросом", иначе люди будут лить по красивой цифре.
подробнее
🔬 priapus про USDe на Aave: negative APY loop съедает 0.01 HF каждые 3 дня
priapus (@Helter3) предупреждает: imho это может стать очень большой проблемой — 0.01 пункт HF съедается каждые 3 дня при APY около -100%. Топ-2 Merkl кампании USDe на Ethereum — этот кошелек даже сейчас ликвидировать не получится. Chado (@callme_chado) уточняет: USDe как коллатерал есть только на Aave v3 Ethereum, оракул через ARFC AIP захардкожен на Chainlink USDT/USD (чтоб de-peg не ликвидировал лупперов). На Arbitrum/Base/Optimism/Polygon USDe в Aave вообще не листен.
подробнее