Крупнейшая крипто-атака 2026 года: Kelp DAO потеряла 292 миллиона долларов, токены rsETH оказались заблокированы в 20 сетях.

Кросс-чейн мост, содержащий почти пятую часть циркулирующего предложения токенов restaked ether, был взломан, и последствия распространяются по DeFi быстрее, чем Kelp DAO может приостановить контракты.

Злоумышленник вывел 116 500 токенов rsETH (restaked ether) из моста Kelp DAO, работающего на базе LayerZero, в 17:35 UTC в субботу. Стоимость выведенных токенов составила примерно 292 миллиона долларов по текущим ценам, что составляет около 18% от общего предложения в 630 000 токенов rsETH, отслеживаемого CoinGecko.

LayerZero – это кросс-чейн система обмена сообщениями, или инфраструктура, которая позволяет различным блокчейнам отправлять друг другу проверенные инструкции. Kelp DAO – это протокол ликвидного рестейкинга, который принимает депозиты ETH от пользователей, направляет их через EigenLayer для получения дополнительной доходности поверх стандартных наград за стейкинг Ethereum и выпускает rsETH в качестве торгуемого актива.

Мост, который был взломан, содержал резерв rsETH, обеспечивающий работу обернутых версий этого токена, развернутых более чем в 20 других блокчейнах.

Злоумышленник обманул кросс-чейн систему обмена сообщениями LayerZero, заставив ее поверить, что получено действительное сообщение от другой сети, что привело к тому, что мост Kelp выпустил 116 500 rsETH на контролируемый злоумышленником адрес.

Мультиподпись системы аварийного приостановления работы Kelp заморозила основные контракты протокола через 46 минут после успешного взлома, в 18:21 UTC. Две последующие попытки в 18:26 UTC и 18:28 UTC были отклонены, каждая из которых содержала один и тот же пакет LayerZero, пытавшийся вывести еще 40 000 rsETH, что составляет примерно 100 миллионов долларов.

Токены rsETH были развернуты более чем в 20 сетях, включая Base, Arbitrum, Linea, Blast, Mantle и Scroll, при этом стандарт OFT от LayerZero обеспечивал кросс-чейн перемещение.

rsETH, хранящийся в мосту, был резервом, обеспечивающим работу обернутых версий на каждом блокчейне второго уровня, или сетях, работающих поверх Ethereum.

После того, как этот резерв был исчерпан, держатели токенов на не-Ethereum платформах столкнулись с вопросом о том, обеспечены ли их токены чем-либо, что создает эффект обратной связи, когда панические выводы на L2 оказывают давление на незатронутый Ethereum, что потенциально может вынудить Kelp закрыть позиции рестейкинга для обработки выплат.

Список затронутых проектов обширен и продолжает расти.

Aave заморозила рынки rsETH на V3 и V4 в течение нескольких часов, при этом основатель Stani Kulechov подтвердил, что взлом был внешним, и контракты Aave не были скомпрометированы. SparkLend и Fluid заморозили свои рынки rsETH.

Цена AAVE упала примерно на 10%, поскольку рынок оценивал потенциальные убытки.

Lido Finance приостановила дальнейшие депозиты в свой продукт earnETH, который имеет экспозицию к rsETH, одновременно уточнив, что stETH и wstETH не затронуты, и что основной протокол стейкинга Lido не имеет отношения к инциденту.

Ethena временно приостановила свои кросс-чейн мосты OFT от основного блокчейна Ethereum в качестве меры предосторожности, заявив, что у нее нет экспозиции к rsETH и что она остается на 101% обеспеченной. Эмиттер стейблкоина заявил, что приостановка продлится примерно шесть часов, пока не будет выявлена первопричина.

Kelp, продукт, входящий в экосистему KernelDAO, прокомментировал инцидент в своем первом публичном посте в X в 20:10 UTC, почти через три часа после взлома. Протокол заявил, что проводит расследование совместно с LayerZero, Unichain, своими аудиторами и независимыми специалистами по безопасности. Компания не раскрыла, как злоумышленникам удалось обойти логику проверки моста.

Сохранится ли привязка rsETH в течение выходных, зависит от того, сколько активов, переведенных между цепочками, будет обменено на ETH в сети Ethereum, и сможет ли Kelp вернуть какую-либо часть украденных средств до того, как след, ведущий к Tornado Cash, будет потерян.

Этот взлом произошел в особенно неспокойный период для DeFi. Протокол Solana-based perpetuals Drift был взломан на сумму около 285 миллионов долларов 1 апреля в результате атаки, которая позже была связана с организациями, связанными с Северной Кореей. Кроме того, за последние несколько недель было скомпрометировано не менее дюжины более мелких протоколов, включая CoW Swap, Zerion, Rhea Finance и Silo Finance.

Потеря Kelp в размере 292 миллиона долларов теперь является самым крупным взломом в DeFi за 2026 год, превысив показатель Drift на несколько миллионов долларов.