#KelpDAOBridgeHacked

Екосистема децентралізованих фінансів зазнала одного з найсерйозніших порушень безпеки на сьогоднішній день, оскільки Kelp DAO зазнав масштабної експлуатації, що призвела до втрат приблизно $292 мільйонів доларів. Атака, яка відбулася 18 квітня, була спрямована на міжланцюговий міст Kelp DAO, підтримуваний LayerZero, і призвела до крадіжки 116 500 токенів rsETH, що спричинило потрясіння у кількох протоколах DeFi.

Що робить цю інцидент особливо тривожним, так це не лише масштаб втрат, а й каскадний вплив, який він спричинив у ширшій екосистемі, включаючи гіганта кредитування Aave, та зростаючий спір між постачальниками інфраструктури щодо відповідальності.

Як сталася атака
Розслідувачі повідомляють, що зловмисник профінансував свій гаманець за допомогою Tornado Cash приблизно за 10 годин до запуску експлуатації, що є поширеним методом для приховування походження транзакцій. Попередній аналіз, включаючи висновки, поділені блокчейн-розслідувачем ZachXBT, свідчить про можливу участь Lazarus Group, хакерської групи, пов’язаної з Північною Кореєю, відомої своїми складними атаками у DeFi.

Технічним коренем атаки, ймовірно, є компрометація RPC-нодів, що використовуються у рамках Decentralized Verified Network (DVN) LayerZero. Зловмисник нібито отруїв два валідаторські вузли, одночасно запустивши DDoS-атаку проти решти. Це порушення дозволило підтвердити фальшиве міжланцюгове повідомлення.

В результаті, контракт моста Kelp DAO був обманутий і випустив 116 500 rsETH у мережі Ethereum, хоча активи ніколи не були легітимно розблоковані.
Зростаючий конфлікт: хто відповідальний?
Після експлуатації між сторонами розгорівся гарячий спір між Kelp DAO і LayerZero.

LayerZero стверджує, що Kelp DAO використовував «конфігурацію 1 із 1 DVN», що створює єдину точку відмови. За словами LayerZero, найкращі галузеві практики рекомендують використовувати кілька незалежних валідаторів, щоб запобігти саме такій атаці. Вони стверджують, що Kelp DAO ігнорував рекомендації щодо диверсифікації.

Однак Kelp DAO категорично заперечує цю заяву. Команда наполягає, що конфігурація 1 із 1 була стандартною налаштуванням, наданим у документації LayerZero для ранніх розгортань OFT. Вони також стверджують, що представники LayerZero раніше схвалили цю архітектуру, тож відповідальність не може бути перенесена ретроспективно.

Розповсюдження інфекції на Aave
Наслідки швидко поширилися за межі Kelp DAO. Зловмисник депонував 89 567 rsETH у Aave як заставу і позичив приблизно $190 мільйонів у WETH і wstETH, що поставило під загрозу Aave значними борговими ризиками.

Aave Labs оцінює потенційні втрати у межах від $124 мільйонів до $230 мільйонів, залежно від того, чи будуть втрати соціалізовані серед власників або ізольовані до окремих мереж.

У відповідь Aave негайно заблокував ринки rsETH у кількох версіях, зменшив параметри застави до нуля і активував аварійні механізми управління ризиками. Токен управління протоколом AAVE впав на 10%, а понад $10 мільярдів у TVL, за повідомленнями, вийшли з платформи через панічні зняття.

Аварійні заходи управління
На Arbitrum валідатори швидко діяли, заблокувавши приблизно $71,1 мільйона ETH, пов’язаного з експлуатацією. Фонди були переведені на безпечний гаманець у очікуванні рішень управління, з можливістю відшкодування користувачам.
Органи влади та дослідники безпеки також, за повідомленнями, залучені до встановлення особи зловмисника та руху коштів.

Що буде далі?
Kelp DAO призупинив усі контракти rsETH на кількох ланцюгах, але основна проблема залишається нерозв’язаною: протокол, ймовірно, не має достатніх резервів казни для покриття втрат у $292 мільйонів.
Можливі сценарії порятунку включають втручання LayerZero для захисту репутації своєї екосистеми, використання казначейських коштів Aave DAO для покриття боргів або широку соціалізовану втрату серед власників rsETH. Однак жодне з цих рішень не було підтверджено.

Поки що цей інцидент залишається одним із найшкідливіших експлойтів DeFi 2026 року, що виявляє критичні слабкості міжланцюгової інфраструктури і знову піднімає дискусії про децентралізацію проти безпеки у сучасних криптосистемах.
📌 Деталь:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年