Bezpieczeństwowa aktualizacja Aave V3.8 wdrożona na 15 rynkach po zatwierdzeniu przez DAO
Najważniejsze informacje
- •Aave V3.8 został uruchomiony na 15 aktywnych rynkach V3 po zatwierdzeniu przez Aave DAO, a wdrożenie zostało ogłoszone przez Aave Labs 11 listopada 2026 r.
- •Główną funkcją wydania jest zabezpieczenie przed reentrancją chroniące operacje Pool podczas zewnętrznych wywołań zwrotnych, zaprojektowane w celu zachowania spójności księgowości Pool.
- •Zabezpieczenie opiera się na przechowywaniu przejściowym EIP-1153 — standardzie Ethereum aktywowanym wraz z aktualizacją Cancun w 2024 r. — co pozwala zapewnić ochronę przy minimalnym koszcie wydajności w porównaniu z konwencjonalnymi zabezpieczeniami opartymi na pamięci trwałej.
- •Wdrożenie obejmuje sieci m.in. Ethereum, Avalanche, BNB Chain, Base, Arbitrum, Polygon i Optimism, natomiast wdrożenia z zamrożonymi aktywami i zerowymi limitami zostały wyłączone z aktualizacji.
- •Aave V3.8 zostanie opublikowany na licencji Business Source License do czasu wyznaczenia przez Aave Governance daty Change Date, a przed poddaniem propozycji pod procedurę governance zaplanowano audyty Certory i podmiotów zewnętrznych.
Aave V3.8 jest już dostępny na 15 rynkach Aave V3 po zatwierdzeniu aktualizacji przez Aave DAO w tym tygodniu. Opracowane przez Aave Labs wydanie dodaje nowe warstwy ochrony zdecentralizowanego protokołu pożyczkowego, zgodnie z najlepszymi praktykami branżowymi i standardami bezpieczeństwa Aave DAO. Wdrożenie ogłoszono 11 listopada 2026 r. na oficjalnym koncie Aave na platformie X.
Aktualizacja koncentru się w całości na bezpieczeństwie. Jej główną funkcją jest zabezpieczenie przed reentrancją w operacjach Pool podczas zewnętrznych wywołań zwrotnych, a wydanie opisywane jest jako przemyślane i nienaruszające istniejącego systemu — wprowadza jedynie drobne zmiany.
Zabezpieczenie przed reentrancją oparte na przechowywaniu przejściowym
Aktualizacja V3.8 wprowadza zabezpieczenie oparte na przechowywaniu przejściowym, znanym jako EIP-1153 — standard Ethereum aktywowany wraz z aktualizacją sieci Cancun w 2024 r., który zapewnia pamięć trwającą tylko przez czas trwania pojedynczej transakcji. Reentrancja to sama w sobie jedna z najstarszych klas podatności w inteligentnych kontraktach, sięgająca ataku na DAO w 2016 r.: zewnętrzny kontrakt, wywołany podczas operacji, odwołuje się z powrotem do Pool, zanim ta operacja się zakończy. Zabezpieczenie ma chronić spójność księgowości Pool i działa również wtedy, gdy pojedyncza transakcja wchodzi w interakcję z Pool więcej niż raz. W praktyce ochrona obejmuje operacje Pool w trakcie zewnętrznych wywołań zwrotnych.
Zgodnie z propozycją zmiany są drobne, ale warto je zastosować, aby "w przyszłości uczynić system bardziej solidnym i odpornym". Zabezpieczenie dostosowuje pooly do najlepszych praktyk branżowych i chroni je przed wykorzystaniem reentrancji, które propozycja określa jako teoretyczne. Zabezpieczanie Aave V3 pozostaje priorytetem dla zespołu.
Historycznie koszty gazowe były problemem dla tego typu zabezpieczeń, ponieważ konwencjonalne ochrony przed reentrancją wymagały zapisu w pamięci trwałej przy każdym zablokowaniu i odblokowaniu. Jednak ostatnie rozwinięcia, takie jak przechowywanie przejściowe, pozwalają wzmocnić protokół przy minimalnym koszcie dla wydajności, dzięki czemu zabezpieczenie można teraz zastosować z niewielkim narzutem.
Aave DAO zatwierdziło propozycję przed rozpoczęciem wdrożenia, a w przyszłych aktualizacjach mogą zostać zaproponowane dalsze usprawnienia w ramach defense-in-depth.
W ogłoszeniu na X Aave stwierdziło, że wydanie "dodaje nowe warstwy ochrony do Aave V3":
Aave V3.8 is now live across 15 Aave V3 markets, following approval by the Aave DAO. Developed by Aave Labs, the release adds new layers of protection to Aave V3, in line with industry best practices and Aave DAO security standards. pic.twitter.com/HVkIEqgazP
— Aave (@aave) November 11, 2026
Wdrożenie i szczegóły licencjonowania
Łącznie wdrożenie obejmuje 15 rynków w ramach szerokiej infrastruktury multichain. Aktualizacja dotyczy instancji Aave V3 na Ethereum, obejmujących zarówno wdrożenia Core, jak i Lido, a także Plasma, Avalanche, BNB Chain, Monad, Base i Arbitrum. W zestawieniu znajdują się również Mantle, X Layer, Polygon, Linea i Optimism, a listę docelowych sieci zamykają Gnosis, MegaETH i Celo.
Jak zaznaczono w propozycji, objęte są tylko aktywne instancje. Wdrożenia ze wszystkimi zamrożonymi aktywami i limitami ustawionymi na zero zostały wyłączone; nieaktywne instancje pozostają zatem bez zmian.
W kwestii licencjonowania Aave V3.8 zostanie opublikowane jako własna wersja Licensed Work na licencji Business Source License — licencji z otwartym kodem źródłowym, która utrzymuje kod publicznie widoczny, ograniczając określone zastosowania do czasu Change Date — a treść licencji zostanie dołączona do repozytorium V3.8. Aave Governance wyznacza datę Change Date, zapisaną pod adresem v38.aavelicense.eth, i dopóki Governance jej nie ustali, V3.8 pozostaje na licencji Business Source License. Własność intelektualna V3.8 zostanie później przeniesiona do Aave Foundation w ramach odrębnej propozycji governance.
Przed AIP — skrótem od Aave Improvement Proposal, formatu, w którym zmiany w protokole są przedkładane pod głosowanie governance Aave — V3.8 przejdzie audyty Certory i podmiotów zewnętrznych, a planowane są również dodatkowe przeglądy bezpieczeństwa.
Ten artykuł powstał w oparciu o oryginalny raport opublikowany na Blockonomi.
