» Крупнейший криптовалютный эксплойт 2026 года: $292 млн украдены из Kelp DAO, а обернутый Ethereum застрял в 20 блокчейнах Дата публикации:20.04.2026, 12:29 285 285 Скопировать Поделись с друзьями! Межсетевой мост, на котором находится почти пятая часть оборотных запасов рестейкированных токенов ETH, только что истощился, и последствия распространяются через DeFi быстрее, чем Kelp DAO может приостановить контракты.
Злоумышленник вывел 116 500 rsETH (перезагруженный ETH) из моста Kelp DAO на базе LayerZero в субботу в 17:35 UTC, на сумму примерно 292 000 000 долларов по текущим ценам, что составляет около 18% от 630 000 токенов rsETH в обращении, отслеживаемых CoinGecko.
LayerZero — это уровень межсетевого обмена сообщениями или инфраструктура, которая позволяет различным блокчейнам отправлять друг другу проверенные инструкции. Kelp DAO — это ликвидный протокол рестейкинга, который принимает внесенные пользователем ETH, направляет их через EigenLayer для получения дополнительной прибыли сверх стандартных вознаграждений за стекинг Ethereum и выдает rsETH в качестве торгуемой квитанции.
Мост, который был опустошен, содержал резервные версии токена rsETH, развернутые в более чем 20 других блокчейнах.
Злоумышленник обманом заставил уровень межсетевого обмена сообщениями LayerZero поверить в то, что действительная инструкция поступила из другой сети, что заставило мост Kelp выпустить 116 500 rsETH на адрес, контролируемый злоумышленником.
Мультиподписная аварийная пауза Kelp заморозила основные контракты протокола через 46 минут после успешного слива, в 18:21 UTC. Две последующие попытки в 18:26 UTC и 18:28 UTC были отменены, каждая из них содержала один и тот же пакет LayerZero, который пытался выполнить еще одну попытку утечки 40 000 rsETH на сумму примерно 100 000 000 долларов.
rsETH развернут в более чем 20 сетях, включая Base, Arbitrum, Linea, Blast, Mantle и Scroll, при этом стандарт OFT LayerZero управляет перемещением между блокчейнами.
rsETH, хранившийся в мосту, представлял собой резервные версии в каждом блокчейне уровня 2 или в сетях, работающих на базе Ethereum.
Когда этот резерв истощен, держатели развертываний, отличных от Ethereum, теперь сталкиваются с вопросом, есть ли что-нибудь под их токенами, что создает петлю обратной связи, в которой панические погашения на уровне 2 оказывают давление на незатронутое предложение Ethereum, потенциально вынуждая Kelp сворачивать повторные позиции для выполнения вывода.
Список заражений длинный и продолжает расти.
В течение нескольких часов Aave заморозила рынки rsETH на V3 и V4, а основатель Стани Кулехов подтвердил, что эксплойт был внешним и контракты Aave не были нарушены. SparkLend и Fluid заморозили свои рынки rsETH.
AAVE упал примерно на 10%, поскольку рынок оценил потенциальную безнадежную задолженность.
Lido Finance приостановила дальнейшие депозиты в свой продукт EarETH, который несет в себе риски rsETH, уточнив при этом, что stETH и wstETH не были затронуты, а основной протокол ставок Lido не имеет никакого отношения к инциденту.
Ethena временно приостановила работу своих мостов LayerZero OFT от основной сети Ethereum в качестве меры предосторожности, заявив, что она не подвержена риску rsETH и по-прежнему имеет избыточное обеспечение более чем на 101%. Эмитент стейблкоинов заявил, что пока не будет выявлена основная причина, пауза продлится примерно 6 часов.
Kelp, продукт под эгидой KernelDAO, признал инцидент в своем первом публичном сообщении на X в 20:10 UTC, почти через три часа после утечки. В протоколе говорится, что расследование проводится совместно с LayerZero, Unichain, ее аудиторами и внешними специалистами по безопасности. Он не раскрыл, как эксплойт обошел логику проверки моста.
Взлом произошел в крайне неудачный период для DeFi. 1 апреля в результате атаки, связанной с Северной Кореей, было потеряно около 285 000 000 долларов США из бессрочного протокола Drift, базирующегося на Solana. За прошедшие недели была взломана как минимум дюжина более мелких протоколов, включая CoW Swap, Zerion, Rhea Finance и Silo Finance.
Убыток Kelp в размере 292 000 000 долларов теперь является крупнейшим эксплойтом DeFi в 2026 году, обогнав Drift на несколько миллионов долларов.