#KelpDAOBridgeHacked

Екосистема децентралізованих фінансів зазнала одного з найсерйозніших зломів на сьогоднішній день, оскільки Kelp DAO зазнав масштабної експлуатації, що призвела до втрат приблизно $292 мільйонів доларів. Атака, яка відбулася 18 квітня, була спрямована на міжланцюговий міст Kelp DAO, підтримуваний LayerZero, і призвела до крадіжки 116 500 токенів rsETH, що спричинило потрясіння у кількох протоколах DeFi.

Що робить цю інцидент особливо тривожним, так це не лише масштаб втрат, а й ланцюгові наслідки, які він спричинив у ширшій екосистемі, включаючи гіганта кредитування Aave, та зростаючий спір між постачальниками інфраструктури щодо відповідальності.

Як сталася атака
Розслідувачі повідомляють, що зловмисник профінансував свій гаманець за допомогою Tornado Cash приблизно за 10 годин до запуску експлуатації, що є поширеним методом для приховування походження транзакцій. Попередній аналіз, включаючи висновки, поділені блокчейн-розслідувачем ZachXBT, свідчить про можливу участь Lazarus Group, хакерської групи, пов’язаної з Північною Кореєю, відомої своїми складними зломами у DeFi.

Технічним коренем атаки, ймовірно, є компрометація RPC-нодів, що використовуються у мережі LayerZero’s Decentralized Verified Network (DVN). Зловмисник нібито отруїв два валідаторські вузли, одночасно запустивши DDoS-атаку проти решти. Це порушення дозволило підтвердити фальшиве міжланцюгове повідомлення.

В результаті, контракт моста Kelp DAO був обманом змушений випустити 116 500 rsETH у мережі Ethereum, хоча активи ніколи не були легітимно розблоковані.
Зростаючий конфлікт: хто відповідальний?
Після експлуатації між Kelp DAO і LayerZero розгорілася гаряча гра у звинувачення.

LayerZero стверджує, що Kelp DAO використовував «конфігурацію DVN 1-із-1», що створює єдину точку відмови. За словами LayerZero, найкращі галузеві практики рекомендують використовувати кілька незалежних валідаторів, щоб запобігти саме такій атаці. Вони стверджують, що Kelp DAO ігнорував рекомендації щодо диверсифікації.

Kelp DAO, однак, категорично відкидає цю заяву. Команда наполягає, що конфігурація 1-із-1 була стандартною, яку надавала документація LayerZero для ранніх розгортань OFT. Вони також стверджують, що представники LayerZero раніше схвалили цю архітектуру, тож відповідальність не може бути перенесена ретроспективно.

Розповсюдження інфекції на Aave
Наслідки швидко поширилися за межі Kelp DAO. Зловмисник депонував 89 567 rsETH у Aave як заставу і позичив приблизно $190 мільйонів у WETH і wstETH, що поставило під загрозу Aave значними борговими ризиками.

Aave Labs оцінює потенційні втрати між $124 мільйонами і $230 мільйонами, залежно від того, чи будуть втрати соціалізовані серед власників або ізольовані до окремих мереж.

У відповідь Aave негайно заблокував ринки rsETH у кількох версіях, зменшив параметри застави до нуля і активував аварійні механізми управління ризиками. Токен управління протоколом AAVE впав на 10%, а понад $10 мільярдів TVL, за повідомленнями, вийшли з платформи через панічні зняття.

Аварійні дії управління
На Arbitrum валідатори швидко діяли, заблокувавши приблизно $71,1 мільйона ETH, пов’язаного з експлуатацією. Фонди були переведені на безпечний гаманець до прийняття рішень управління, з можливістю відшкодування користувачам.

Також повідомляється, що влада та дослідники безпеки беруть участь у відстеженні особи зловмисника та руху коштів.

Що буде далі?
Kelp DAO призупинив усі контракти rsETH на кількох ланцюгах, але основна проблема залишається невирішеною: протокол, ймовірно, не має достатніх резервів казни для покриття втрат у $292 мільйонів доларів.
Можливі сценарії порятунку включають втручання LayerZero для захисту репутації своєї екосистеми, використання казначейських коштів Aave DAO для покриття боргів або ширше соціалізовані втрати серед власників rsETH. Однак жодне з цих рішень не було підтверджено.

Поки що цей інцидент залишається одним із найсерйозніших зломів у DeFi у 2026 році, відкриваючи критичні слабкості міжланцюгової інфраструктури і знову піднімаючи дискусії про децентралізацію проти безпеки у сучасних криптосистемах.
📌 Деталь:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年