Децентрализованное затруднение: каскадные риски и право на экстренное вмешательство в кризис KelpDAO

Написано: BlockSec

Ключевые моменты: Уязвимость моста KelpDAO на сумму 290 миллионов долларов вызвала цепную реакцию, заморозив ликвидность WETH на более чем пяти цепочках на сумму свыше 6,7 миллиарда долларов, затронув пользователей, которые ранее не взаимодействовали с rsETH. Этот инцидент также выявил реальные границы системы “permissionless”: Арбитрумский Совет Безопасности через управление авторизовал обновление атомарных контрактов, принудительно переведя 30 766 ETH без подписи владельца.

18 апреля 2026 года мост rsETH KelpDAO был атакован, потеряв около 290 миллионов долларов, став крупнейшим событием в сфере DeFi в этом году. Первичные источники указывают на Lazarus Group — хорошо задокументированную государственную хакерскую организацию, длительное время атакующую криптоинфраструктуру [1]. В этом случае уязвимость возникла не из-за ошибок в смарт-контрактах, а через внедрение вредоносных изменений в RPC-инфраструктуру одного из узлов децентрализованной сети верификации (DVN), что позволило подделать межцепочечные сообщения и, без соответствующего уничтожения активов на исходной цепочке, выпустить rsETH.

LayerZero [1] и KelpDAO [2] уже подробно объяснили саму атаку. В этой статье мы рассмотрим другой аспект: что произошло после атаки — как зависимость от одного узла инфраструктуры вызвала цепную реакцию заморозки ликвидности на десятках миллиардов долларов, и как эта цепочка вынудила децентрализованные рамки управления проявить централизованные полномочия в публичной сфере.

Цепочка причинно-следственных связей инцидента KelpDAO охватывает три уровня “децентрализованной” технологической инфраструктуры: зависимость от единственного DVN сделала атаку возможной; далее, модульность DeFi (так называемый “DeFi Lego”, когда протоколы соединяются как блоки) превратила уязвимость моста в системный кризис ликвидности; и масштаб кризиса, в свою очередь, вынудил рамки управления проявить встроенные централизованные полномочия.

Обзор: краткое описание атаки KelpDAO

KelpDAO — эмитент rsETH. rsETH — это токен для повторного залога ликвидности (LRT), представляющий позиции ETH, заложенные у нескольких операторов. Для обеспечения межцепочечной циркуляции rsETH KelpDAO интегрировал протокол LayerZero, который полагается на DVN (децентрализованную сеть верификации) для подтверждения легитимности межцепочечных сообщений перед их выполнением.

Ключевая настройка: rsETH OApp KelpDAO использует конфигурацию 1-of-1 DVN, то есть только один DVN, управляемый LayerZero Labs, выступает в роли единственного валидатора. Это означает, что безопасность всей межцепочечной передачи полностью зависит от одного доверенного узла. Документация LayerZero рекомендует использовать резервные DVN для повышения надежности, и LayerZero заявил, что до инцидента уже сообщил KelpDAO о необходимости такой конфигурации [1]. В ответ KelpDAO заявил, что конфигурация 1/1 — это стандартная настройка, прописанная в документации LayerZero и используемая по умолчанию для новых OFT (оригинальных токенов) [2].

Злоумышленник взломал два RPC-узла LayerZero Labs, используемых DVN, заменив их бинарные файлы на вредоносные версии. Эти узлы отвечали только на IP-адреса DVN, возвращая поддельные данные о состоянии цепочки, в то время как все остальные наблюдатели (включая мониторинговую инфраструктуру LayerZero) получали нормальные ответы. Одновременно, DDoS-атака на не взломанные RPC-узлы вызвала сбой системы, которая переключилась на зараженные узлы. В результате DVN подтвердил межцепочечное сообщение, которого никогда не было — без соответствующего уничтожения активов на исходной цепочке — и выпустил 116 500 rsETH через адаптер Ethereum (0x85d4…8ef3). Транзакция выпуска: 0x1ae232…db4222. На блокчейне очевидно: целевой узел Ethereum принял nonce 308, тогда как источник (Unichain) сообщил о максимальном исходящем nonce 307 [10].

KelpDAO обнаружил аномалию за 46 минут и приостановил работу всех связанных контрактов, что предотвратило дальнейшие атаки на 40 000 rsETH (~95 млн долларов) [2]. Но злоумышленник уже перешел к следующему этапу: через протоколы кредитования DeFi он конвертировал украденные rsETH в заемные активы.

От подделанных токенов к заемным активам

Злоумышленник не продавал напрямую украденные rsETH. 116 500 токенов были разбросаны по семи кошелькам, и их реализовали через разные каналы: обмен через агрегаторы на ETH, предоставление в протоколы Compound V3 и мосты на Arbitrum [10]. Но наиболее значимый путь — через Aave: злоумышленник заложил 89 567 rsETH (около 221 млн долларов) в кредитные рынки на Ethereum и Arbitrum. Используя функцию E-Mode Aave (которая позволяет увеличить LTV для связанных активов), он взял в долг 82 620 WETH и 821 wstETH [3], заложив rsETH в качестве залога.

Эти позиции оказались под высоким кредитным плечом. Коэффициент здоровья (health factor) семи адресов злоумышленника колебался между 1.01 и 1.03, чуть выше уровня ликвидации [3]. Это произошло потому, что в Aave для rsETH установлено LTV 93%, а порог ликвидации — 95%, то есть запас безопасности — всего 2 процентных пункта.

Детали по адресам в двух рынках:

| Таблица 1: Детали залога rsETH и займов WETH/wstETH злоумышленника на двух рынках Aave |

Данные: блокчейн-статистика, объединение данных Etherscan, Arbiscan и DeBank, по состоянию на 22.04.2026, 16:51 UTC. Стоимость в USD — по ценам на момент транзакций.

Цепная реакция: как уязвимость моста заморозила ликвидность WETH на пяти цепочках

Ниже представлена схема полной цепочки. Шаги 1 и 2 (уязвимость моста и залог rsETH в Aave) уже описаны выше. В этом разделе подробно рассмотрим шаги 3–5: почему WETH пришлось заморозить, какие параметры усилили масштаб цепной реакции и какова реальная цена заморозки.

Рисунок 1: Цепочка цепных реакций от уязвимости моста до заморозки WETH на пяти цепочках

Почему WETH нужно было заморозить

19 апреля протокол Aave под руководством Protocol Guardian заблокировал все рынки rsETH и wrsETH на версиях V3 и V4, запретив новые залоги и займы с rsETH [8]. Это было ожидаемой первой реакцией.

Неожиданно, 20 апреля, Aave заблокировал резервы WETH на Ethereum, Arbitrum, Base, Mantle и Linea [3].

Почему нужно было заморозить WETH? Потому что это актив, не связанный с атакой и не имеющий отношения к мосту. Взломанный rsETH был создан без соответствующих активов на исходной цепочке. Орекул Aave продолжал оценивать эти токены по полной рыночной цене, считая их допустимым залогом, несмотря на отсутствие реальных активов. Злоумышленник использовал эту информационную асимметрию, чтобы взять в долг WETH под залог без обеспечения, что привело к выкачке WETH из кредитных пулов и доведению их до 100% использования. В результате, пользователи, внесшие WETH, не могли вывести свои средства, а ликвидаторы — провести ликвидацию. Механизм ликвидации, основной защитный механизм от плохих долгов, фактически вышел из строя [3].

Если бы WETH оставался доступным для займов, то и другие цепочки могли бы быть выкачаны по тому же сценарию: залог rsETH, заем WETH и уход. Поэтому заморозка WETH — единственный способ ограничить ущерб.

Три параметра, формирующие цепную реакцию

Масштаб цепной реакции зависит не случайно. Три параметра протокола определяют размер прямого ущерба и охват заморозки.

1. LTV: сколько можно взять заемных средств за единицу залога

Для rsETH в Aave установлено LTV 93%, то есть за каждый доллар залога rsETH можно взять в долг 0.93 доллара WETH. В сравнении, у Spark Protocol LTV для rsETH — 72%, у Fluid — около 75% [3]. Значение Aave — самое агрессивное.

Это сознательное решение, а не ошибка. В январе 2026 года управление Aave повысило LTV rsETH в E-Mode с 92.5% до 93%, что уменьшило запас безопасности с 2.5% до 2%. Базовый (не E-Mode) LTV установлен почти в ноль (0.05%), что фактически заставляет все значительные займы по rsETH проходить через высоко LTV E-Mode.

2. Глубина пула: насколько уязвимы рынки к выкачке ликвидности

Одинаковая сумма займа в разных пулах вызывает разный эффект.

| Таблица 2: Размер резервов WETH на рынках Aave V3 и доля прямого выкачивания злоумышленником |

Злоумышленник заложил rsETH только на рынках V3. В V4 (запущен в марте 2026, только для Ethereum) также введена предварительная заморозка rsETH [8], но в таблице не отражена. Данные по резервам WETH — из LlamaRisk [3]; данные по займам — из таблицы выше.

Злоумышленник сосредоточился на Ethereum Core и Arbitrum. Но важно понять, что происходит на цепочках, где он не взаимодействовал. В Mantle, Base и Linea rsETH принимается как залог. Если мосты между цепочками будут разрушены, то позиции, заложенные на этих цепочках, рискуют стать безобеспеченными. Поэтому решение Aave — предварительно заморозить WETH на всех пяти цепочках, чтобы не допустить повторения сценария.

3. Количество межцепочечных развертываний: масштаб распространения заморозки

rsETH используется в 23 рынках Aave V3, из которых 11 — залоговые, и 7 из них — с существенным риском [3]. Злоумышленник действовал только на двух цепочках, но заморозка WETH затронула минимум 5, включая рынки, где он никогда не залогал активы. LTV определяет, сколько можно вывести на каждой цепочке, глубина пула — насколько сильно пострадает рынок. Но в конечном итоге, масштаб распространения заморозки зависит от того, сколько цепочек принимает rsETH в качестве залога.

Эти параметры не статичны. За 9 дней до инцидента, 9 апреля, Risk Steward Aave повысил лимит по rsETH: на Ethereum — с 480 000 до 530 000, на Mantle — с 52 000 до 70 000 [3]. Хотя это не обязательно связано с подготовкой атаки (она могла начаться раньше), такие изменения показывают, как параметры могут непреднамеренно расширить масштаб будущих кризисов.

Реальные последствия заморозки

В результате — уязвимость моста на 290 миллионов долларов привела к заморозке ликвидности WETH на пяти цепочках, а суммарные активы в замороженных рынках превысили 67 миллиардов долларов.

Прямой ущерб — это сумма займов злоумышленника. Но в DeFi-кредитовании заморозка — это не просто операционный сбой. Она блокирует ликвидность пользователей, мешает выводам, разрушает активные позиции и ослабляет механизм защиты от плохих долгов — ликвидацию. Большинство пострадавших пользователей никогда не взаимодействовали с rsETH, KelpDAO или межцепочечными мостами. Они — вкладчики и заемщики WETH на Aave, участвующие в очевидных кредитных рынках.

WETH — базовый актив DeFi. Заморозка WETH — это как закрытие крупнейшего банка города, потому что другая финансовая организация использовала продукт, о котором большинство вкладчиков не слышали, и его использовали мошенники.

Отчет LlamaRisk [3] создал две модели сценариев плохого долга, дающие прогнозы по цепочкам, — это самый подробный анализ распространения риска. Но даже он фокусируется на потенциальных потерях, а не на более широких операционных издержках заморозки: блокировке выводов, препятствиях для позиций и ослаблении механизмов ликвидации. Полная оценка масштабов цепной реакции — пока открытая задача.

Восстановление — не простая задача. Модульность системы одновременно усложняет и восстановление. Aave не может просто “разморозить все”. Каждый рынок требует отдельной оценки, исходя из локальных рисков rsETH, использования WETH и активности злоумышленника. Временная шкала показывает:

• 19 апреля: Protocol Guardian заблокировал все рынки rsETH и wrsETH V3 и V4 [8].
• 20 апреля: WETH заморожен на Ethereum, Arbitrum, Base, Mantle и Linea [8].
• 21 апреля: WETH на Ethereum Core V3 разморожен, LTV — 0, остальные цепочки остаются замороженными [6].

Через четыре дня после атаки только один рынок был разблокирован. Восстановление — это постепенный процесс, требующий согласования управления и оценки рисков.

Экстренные меры: как Arbitrum перевел 30 766 ETH без подписи владельца

Пока Aave боролся с цепной реакцией, на Arbitrum также проводилась параллельная операция. 21 апреля Совет Безопасности Arbitrum объявил о срочных мерах: заморозил 30 766 ETH, принадлежащие злоумышленнику [7]. Эти средства были переведены на промежуточный адрес (0x…0DA0), и их дальнейшая судьба будет решена через голосование Arbitrum.

Управленческие меры

Совет Безопасности Arbitrum — это часть официальной структуры DAO, а не внешняя группа или временный комитет. Эти меры были объявлены публично на форуме управления, и после подтверждения личности злоумышленника выполнены в рамках полномочий [7]. Вся транзакционная деятельность — открыта и проверяема.

Технические механизмы

Главное в этом — не само решение, а его реализация на цепочке. Анализ Phalcon [6] показывает, что Совет использовал атомарные три шага:

• Временное обновление контракта DelayedInbox, добавив функцию sendUnsignedTransactionOverride.
• Эта функция создает межцепочечное сообщение, выдавая его за сообщение злоумышленника, через Bridge.enqueueDelayedMessage с типом kind=3 (L1MessageType_L2Message). Такой тип позволяет выполнять L2-команды без подписи, используя адрес-алиас, связанный с атакующим.
• После выполнения транзакции контракт возвращается к исходной реализации.

Все транзакции — публично доступны через Phalcon Explorer. Они показывают, что средства были переведены “от злоумышленника к 0x…0DA0”, но это не стандартный перевод с подписью пользователя, а принудительное изменение состояния через управление инфраструктурой — без подписи владельца.

Децентрализационный парадокс

Идея проста: контракты с возможностью обновления дают неограниченные возможности. Если контракт можно обновить, его поведение можно изменить так, чтобы он мог переводить активы без подписи владельца. Это — встроенная возможность любой системы с обновляемыми контрактами. 30 766 ETH сейчас хранятся на замороженном адресе, и только голосование Arbitrum решит, что с ними делать. Атомарный режим обновления — выполнение и восстановление — не оставил постоянных изменений в inbox-контракте и не затронул других пользователей или приложения [6].

С точки зрения большинства экспертов, действия Совета Безопасности Arbitrum — правильны. Злоумышленник — государственный актор, правоохранительные органы участвуют, процесс публичен и прозрачнен, украденные активы — частично возвращены или заблокированы для дальнейшего отмывания.

Но эта возможность — не ограничена конкретным случаем. Такой же механизм обновления и выполнения можно использовать для перевода любых активов на Arbitrum One. Полномочия Совета — не только для злоумышленника или украденных средств, а универсальны, и регулируются управлением, а не кодом.

Это и есть парадокс. Пользователи считают, что их активы под контролем их приватных ключей, и никто не сможет их перевести без подписи. Но инцидент с KelpDAO показывает, что в Arbitrum и подобных системах активы могут быть переведены без подписи, через управленческие действия.

Arbitrum — не исключение. Аналогично, заморозка рынков Aave — управляемое решение. В случае KelpDAO несколько протоколов одновременно использовали централизованные полномочия: Aave — заморозил рынки, Совет Arbitrum — осуществил принудительный перевод, KelpDAO — приостановил работу контрактов. Эти действия — эффективные, прозрачные и, по сути, необходимы, что подтверждает границы “permissionless” систем.

Проблема не в наличии полномочий, а в их границах, условиях активации и механизмах ответственности. Пользователи должны знать: при каких условиях Совет может перевести их средства? Какие у них есть права на возврат?

Текущий статус украденных средств

Отслеживание украденных активов (подробная визуализация — MetaSleuth [9]) показывает, что злоумышленник разбросал 116 500 rsETH по 7 основным адресам, большинство из которых заложены в Aave (Ethereum и Arbitrum) для получения WETH и wstETH. Эти заемные активы после небольшого обмена на DEX оказались объединены в один адрес 0x5d39…7ccc (Ethereum / Arbitrum). По состоянию на 22.04.2026, 05:42 UTC, активы распределены так:

| Таблица 3: Распределение украденных активов по состоянию на 22.04.2026, 05:42 UTC |

• Около 31% — заморожены или перехвачены
• 23% — остаются на одном неактивном адресе Ethereum
• 46% — распределены по 103 адресам-отправителям

Злоумышленник не выкупил залоговые rsETH в Aave, заемные WETH и wstETH не возвращены, позиции заброшены.

Общий вывод: цепная реакция, вызванная уязвимостью моста, привела к заморозке ликвидности WETH на пяти цепочках, а суммарные активы в замороженных рынках — свыше 67 миллиардов долларов.

Основной ущерб — это заемные обязательства злоумышленника. Но в DeFi заморозка — это не просто сбой. Она блокирует ликвидность, мешает выводам, разрушает активные позиции и ослабляет механизм ликвидации. Большинство пострадавших — это обычные пользователи, которые никогда не взаимодействовали с rsETH или KelpDAO. Они — вкладчики и заемщики WETH, участвующие в очевидных кредитных рынках.

WETH — базовый актив DeFi. Заморозка WETH — это как закрытие крупнейшего банка города, потому что другая финансовая организация использовала продукт, о котором большинство вкладчиков не слышали, и его использовали мошенники.

Отчет LlamaRisk [4] создал две модели сценариев плохого долга, дающие прогнозы по цепочкам — самый подробный анализ распространения риска. Но даже он фокусируется на потенциальных потерях, а не на более широких операционных издержках: блокировке выводов, препятствиях для позиций и ослаблении механизмов ликвидации. Полная оценка масштабов цепной реакции — пока открытая задача.

Восстановление — не простая задача. Модульность системы усложняет и восстановление. Aave не может просто “разморозить все”. Каждый рынок требует отдельной оценки, исходя из локальных рисков rsETH, использования WETH и активности злоумышленника. Временная шкала показывает:

• 19 апреля: Protocol Guardian заблокировал все рынки rsETH и wrsETH V3 и V4 [5].
• 20 апреля: WETH заморожен на Ethereum, Arbitrum, Base, Mantle и Linea [6].
• 21 апреля: WETH на Ethereum Core V3 разморожен, LTV — 0, остальные цепочки остаются замороженными [11].

Через четыре дня после атаки только один рынок был разблокирован. Восстановление — постепенный процесс, требующий согласования управления и оценки рисков.

Экстренные меры: как Arbitrum перевел 30 766 ETH без подписи владельца

Пока Aave боролся с цепной реакцией, на Arbitrum также проводилась параллельная операция. 21 апреля Совет Безопасности Arbitrum объявил о срочных мерах: заморозил 30 766 ETH, принадлежащие злоумышленнику [10]. Эти средства были переведены на промежуточный адрес (0x…0DA0), и их дальнейшая судьба будет решена через голосование Arbitrum.

Управленческие меры

Совет Безопасности Arbitrum — это часть официальной структуры DAO, а не внешняя группа или временный комитет. Эти меры были объявлены публично на форуме управления, и после подтверждения личности злоумышленника выполнены в рамках полномочий [1]. Вся транзакционная деятельность — открыта и проверяема.

Технические механизмы

Главное в этом — не само решение, а его реализация на цепочке. Анализ Phalcon [2] показывает, что Совет использовал атомарные три шага:

• Временное обновление контракта DelayedInbox, добавив функцию sendUnsignedTransactionOverride.
• Эта функция создает межцепочечное сообщение, выдавая его за сообщение злоумышленника, через Bridge.enqueueDelayedMessage с типом kind=3 (L1MessageType_L2Message). Такой тип позволяет выполнять L2-команды без подписи, используя адрес-алиас, связанный с атакующим.
• После выполнения транзакции контракт возвращается к исходной реализации.

Все транзакции — публично доступны через Phalcon Explorer. Они показывают, что средства были переведены “от злоумышленника к 0x…0DA0”, но это не стандартный перевод с подписью пользователя, а принудительное изменение состояния через управление инфраструктурой — без подписи владельца.

Парадокс децентрализации

Идея проста: контракты с возможностью обновления дают неограниченные возможности. Если контракт можно обновить, его поведение можно изменить так, чтобы он мог переводить активы без подписи владельца. Это — встроенная возможность любой системы с обновляемыми контрактами. 30 766 ETH сейчас хранятся на замороженном адресе, и только голосование Arbitrum решит, что с ними делать. Атомарный режим обновления — выполнение и восстановление — не оставил постоянных изменений в inbox-контракте и не затронул других пользователей или приложения [3].

С точки зрения большинства экспертов, действия Совета Безопасности Arbitrum — правильны. Злоумышленник — государственный актор, правоохранительные органы участвуют, процесс публичен и прозрачнен, украденные активы — частично возвращены или заблокированы для дальнейшего отмывания.

Но эта возможность — не ограничена конкретным случаем. Такой же механизм обновления и выполнения можно использовать для перевода любых активов на Arbitrum One. Полномочия Совета — не только для злоумышленника или украденных средств, а универсальны, и регулируются управлением, а не кодом.

Это и есть парадокс. Пользователи считают, что их активы под контролем их приватных ключей, и никто не сможет их перевести без подписи. Но инцидент с KelpDAO показывает, что в Arbitrum и подобных системах активы могут быть переведены без подписи, через управленческие действия.

Arbitrum — не исключение. Аналогично, заморозка рынков Aave — управляемое решение. В случае KelpDAO несколько протоколов одновременно использовали централизованные полномочия: Aave — заморозил рынки, Совет Arbitrum — осуществил принудительный перевод, KelpDAO — приостановил работу контрактов. Эти действия — эффективные, прозрачные и, по сути, необходимы, что подтверждает границы “permissionless” систем.

Проблема не в наличии полномочий, а в их границах, условиях активации и механизмах ответственности. Пользователи должны знать: при каких условиях Совет может перевести их средства? Какие у них есть права на возврат?

Текущий статус украденных средств

Отслеживание украденных активов (подробная визуализация — MetaSleuth () показывает, что злоумышленник разбросал 116 500 rsETH по 7 основным адресам, большинство из которых заложены в Aave (Ethereum и Arbitrum) для получения WETH и wstETH. Эти заемные активы после небольшого обмена на DEX оказались объединены в один адрес 0x5d39…7ccc (Ethereum / Arbitrum). По состоянию на 22.04.2026, 05:42 UTC, активы распределены так:

| Таблица 3: Распределение украденных активов по состоянию на 22.04.2026, 05:42 UTC |

• Около 31% — заморожены или перехвачены
• 23% — остаются на одном неактивном адресе Ethereum
• 46% — распределены по 103 адресам-отправителям

Злоумышленник не выкупил залоговые rsETH в Aave, заемные WETH и wstETH не возвращены, позиции заброшены.

Общий вывод: цепная реакция, вызванная уязвимостью моста, привела к заморозке ликвидности WETH на пяти цепочках, а суммарные активы в замороженных рынках — свыше 67 миллиардов долларов.

Основной ущерб — это заемные обязательства злоумышленника. Но в DeFi заморозка — это не просто сбой. Она блокирует ликвидность, мешает выводам, разрушает активные позиции и ослабляет механизм ликвидации. Большинство пострадавших — это обычные пользователи, которые никогда не взаимодействовали с rsETH или KelpDAO. Они — вкладчики и заемщики WETH, участвующие в очевидных кредитных рынках.

WETH — базовый актив DeFi. Заморозка WETH — это как закрытие крупнейшего банка города, потому что другая финансовая организация использовала продукт, о котором большинство вкладчиков не слышали, и его использовали мошенники.

Отчет LlamaRisk ) создал две модели сценариев плохого долга, дающие прогнозы по цепочкам — самый подробный анализ распространения риска. Но даже он фокусируется на потенциальных потерях, а не на более широких операционных издержках: блокировке выводов, препятствиях для позиций и ослаблении механизмов ликвидации. Полная оценка масштабов цепной реакции — пока открытая задача.

Восстановление — не простая задача. Модульность системы усложняет и восстановление. Aave не может просто “разморозить все”. Каждый рынок требует отдельной оценки, исходя из локальных рисков rsETH, использования WETH и активности злоумышленника. Временная шкала показывает:

• 19 апреля: Protocol Guardian заблокировал все рынки rsETH и wrsETH V3 и V4 [4].
• 20 апреля: WETH заморожен на Ethereum, Arbitrum, Base, Mantle и Linea (.
• 21 апреля: WETH на Ethereum Core V3 разморожен, LTV — 0, остальные цепочки остаются замороженными ).

Через четыре дня после атаки только один рынок был разблокирован. Восстановление — постепенный процесс, требующий согласования управления и оценки рисков.

Экстренные меры: как Arbitrum перевел 30 766 ETH без подписи владельца

Пока Aave боролся с цепной реакцией, на Arbitrum также проводилась параллельная операция. 21 апреля Совет Безопасности Arbitrum объявил о срочных мерах: заморозил 30 766 ETH, принадлежащие злоумышленнику [5]. Эти средства были переведены на промежуточный адрес (0x…0DA0), и их дальнейшая судьба будет решена через голосование Arbitrum.

Управленческие меры

Совет Безопасности Arbitrum — это часть официальной структуры DAO, а не внешняя группа или временный комитет. Эти меры были объявлены публично на форуме управления, и после подтверждения личности злоумышленника выполнены в рамках полномочий (. Вся транзакционная деятельность — открыта и проверяема.

Технические механизмы

Главное в этом — не само решение, а его реализация на цепочке. Анализ Phalcon ) показывает, что Совет использовал атомарные три шага:

• Временное обновление контракта DelayedInbox, добавив функцию sendUnsignedTransactionOverride.
• Эта функция создает межцепочечное сообщение, выдавая его за сообщение злоумышленника, через Bridge.enqueueDelayedMessage с типом kind=3 (L1MessageType_L2Message). Такой тип позволяет выполнять L2-команды без подписи, используя адрес-алиас, связанный с атакующим.
• После выполнения транзакции контракт возвращается к исходной реализации.

Все транзакции — публично доступны через Phalcon Explorer. Они показывают, что средства были переведены “от злоумышленника к 0x…0DA0”, но это не стандартный перевод с подписью пользователя, а принудительное изменение состояния через управление инфраструктурой — без подписи владельца.

Парадокс децентрализации

Идея проста: контракты с возможностью обновления дают неограниченные возможности. Если контракт можно обновить, его поведение можно изменить так, чтобы он мог переводить активы без подписи владельца. Это — встроенная возможность любой системы с обновляемыми контрактами. 30 766 ETH сейчас хранятся на замороженном адресе, и только голосование Arbitrum решит, что с ними делать. Атомарный режим обновления — выполнение и восстановление — не оставил постоянных изменений в inbox-контракте и не затронул других пользователей или приложения [6].

С точки зрения большинства экспертов, действия Совета Безопасности Arbitrum — правильны. Злоумышленник — государственный актор, правоохранительные органы участвуют, процесс публичен и прозрачнен, украденные активы — частично возвращены или заблокированы для дальнейшего отмывания.

Но эта возможность — не ограничена конкретным случаем. Такой же механизм обновления и выполнения можно использовать для перевода любых активов на Arbitrum One. Полномочия Совета — не только для злоумышленника или украденных средств, а универсальны, и регулируются управлением, а не кодом.

Это и есть парадокс. Пользователи считают, что их активы под контролем их приватных ключей, и никто не сможет их перевести без подписи. Но инцидент с KelpDAO показывает, что в Arbitrum и подобных системах активы могут быть переведены без подписи, через управленческие действия.

Arbitrum — не исключение. Аналогично, заморозка рынков Aave — управляемое решение. В случае KelpDAO несколько протоколов одновременно использовали централизованные полномочия: Aave — заморозил рынки, Совет Arbitrum — осуществил принудительный перевод, KelpDAO — приостановил работу контрактов. Эти действия — эффективные, прозрачные и, по сути, необходимы, что подтверждает границы “permissionless” систем.

Проблема не в наличии полномочий, а в их границах, условиях активации и механизмах ответственности. Пользователи должны знать: при каких условиях Совет может перевести их средства? Какие у них есть права на возврат?

Текущий статус украденных средств

Отслеживание украденных активов (подробная визуализация — MetaSleuth [7]) показывает, что злоумышленник разбросал 116 500 rsETH по 7 основных адресам, большинство из которых заложены в Aave (Ethereum и Arbitrum) для получения WETH и wstETH. Эти заемные активы после небольшого обмена на DEX оказались объединены в один адрес 0x5d39…7ccc (Ethereum / Arbitrum). По состоянию на 22.04.2026, 05:42 UTC, активы распределены так:

| Таблица 3: Распределение украденных активов по состоянию на 22.04.2026, 05:42 UTC |

• Около 31% — заморожены или перехвачены
• 23% — остаются на одном неактивном адресе Ethereum
• 46% — распределены по 103 адресам-отправителям

Злоумышленник не выкупил залоговые rsETH в Aave, заемные WETH и wstETH не возвращены, позиции заброшены.

Общий вывод: цепная реакция, вызванная уязвимостью моста, привела к заморозке ликвидности WETH на пяти цепочках, а суммарные активы в замороженных рынках — свыше 67 миллиардов долларов.

Основной ущерб — это заемные обязательства злоумышленника. Но в DeFi заморозка — это не просто сбой. Она блокирует ликвидность, мешает выводам, разрушает активные позиции и ослабляет механизм ликвидации. Большинство пострадавших — это обычные пользователи, которые никогда не взаимодействовали с rsETH или KelpDAO. Они — вкладчики и заемщики WETH, участвующие в очевидных кредитных рынках.

WETH — базовый актив DeFi. Заморозка WETH — это как закрытие крупнейшего банка города, потому что другая финансовая организация использовала продукт, о котором большинство вкладчиков не слышали, и его использовали мошенники.

Отчет LlamaRisk [8] создал две модели сценариев плохого долга, дающие прогнозы по цепочкам — самый подробный анализ распространения риска. Но даже он фокусируется на потенциальных потерях, а не на более широких операционных издержках: блокировке выводов, препятствиях для позиций и ослаблении механизмов ликвидации.