#KelpDAOBridgeHacked

Екосистема децентралізованих фінансів зазнала одного з найсерйозніших порушень безпеки на сьогоднішній день, оскільки Kelp DAO зазнав масштабної експлуатації, що призвела до втрат приблизно $292 мільйонів доларів. Атака, яка відбулася 18 квітня, була спрямована на міжланцюговий міст Kelp DAO, підтримуваний LayerZero, і призвела до крадіжки 116 500 токенів rsETH, що спричинило потрясіння у кількох протоколах DeFi.

Що робить цю інцидент особливо тривожним, так це не лише масштаб втрат, а й каскадний вплив, який він спричинив у ширшій екосистемі, включаючи гіганта кредитування Aave, та зростаючий спір між постачальниками інфраструктури щодо відповідальності.

Як сталася атака
Розслідувачі повідомляють, що зловмисник профінансував свій гаманець за допомогою Tornado Cash приблизно за 10 годин до запуску експлуатації, що є поширеним методом для приховування походження транзакцій. Попередній аналіз, включаючи висновки, поділені блокчейн-розслідувачем ZachXBT, свідчить про можливу участь Lazarus Group, хакерської групи, пов’язаної з Північною Кореєю, відомої своїми складними атаками на DeFi.

Технічним коренем атаки, ймовірно, є компрометація RPC-нодів, що використовуються у мережі LayerZero’s Decentralized Verified Network (DVN). Зловмисник нібито отруїв два валідаторські вузли, одночасно запустивши DDoS-атаку проти решти. Це порушення дозволило підтвердити фальшиве міжланцюгове повідомлення.

В результаті, контракт моста Kelp DAO був обманом змушений випустити 116 500 rsETH у мережі Ethereum, хоча активи ніколи не були легітимно розблоковані.
Зростаючий конфлікт: хто відповідальний?
Після експлуатації між Kelp DAO і LayerZero розгорілася гаряча гра звинувачень.

LayerZero стверджує, що Kelp DAO використовував «конфігурацію DVN 1-із-1», яка створює єдину точку відмови. За словами LayerZero, найкращі галузеві практики рекомендують використовувати кілька незалежних валідаторів, щоб запобігти саме такій атаці. Вони стверджують, що Kelp DAO ігнорував рекомендації щодо диверсифікації.

Kelp DAO, однак, категорично відкидає цю заяву. Команда наполягає, що конфігурація 1-із-1 була стандартною, яку надавала документація LayerZero для ранніх розгортань OFT. Вони також стверджують, що представники LayerZero раніше схвалили цю архітектуру, тож відповідальність не може бути перенесена ретроспективно.

Розповсюдження інфекції на Aave
Наслідки швидко поширилися за межі Kelp DAO. Зловмисник депонував 89 567 rsETH у Aave як заставу і позичив приблизно $190 мільйонів у WETH і wstETH, що поставило під загрозу Aave значними борговими ризиками.

Aave Labs оцінює потенційні втрати між $124 мільйонами і $230 мільйонами, залежно від того, чи будуть втрати соціалізовані серед власників або ізольовані до окремих мереж.

У відповідь Aave негайно заблокував ринки rsETH у кількох версіях, зменшив параметри застави до нуля і активував аварійні механізми управління ризиками. Токен управління протоколом AAVE впав на 10%, а понад $10 мільярдів TVL, за повідомленнями, вийшли з платформи через панічні зняття.

Аварійні заходи управління
На Arbitrum валідатори швидко діяли, заблокувавши приблизно $71,1 мільйона ETH, пов’язаного з експлуатацією. Фонди були переведені на безпечний гаманець до прийняття рішень управління, з можливістю відшкодування користувачам.
Органи влади та дослідники безпеки також, за повідомленнями, залучені до встановлення особи зловмисника та руху коштів.

Що буде далі?
Kelp DAO призупинив усі контракти rsETH на кількох ланцюгах, але основна проблема залишається нерозв’язаною: протокол, ймовірно, не має достатніх резервів казни для покриття втрат у $292 мільйонів.
Можливі сценарії порятунку включають втручання LayerZero для захисту репутації своєї екосистеми, використання казенних коштів Aave DAO для покриття боргів або широку соціалізовану втрату серед власників rsETH. Однак жодне з цих рішень не було підтверджено.

Поки що цей інцидент залишається одним із найшкідливіших експлойтів DeFi 2026 року, відкриваючи критичні слабкості міжланцюгової інфраструктури і знову піднімаючи дискусії про децентралізацію проти безпеки у сучасних криптосистемах.
📌 Деталь:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年