ПРОБУДИТЕСЬ: $293M Хак Kelp DAO: крупнейшая эксплойтация DeFi 2026 года

Что произошло
Мост rsETH Kelp DAO (@KelpDAO) был взломан через LayerZero.
➡️ 116 500 rsETH выведено за (~$293M за считанные минуты)
➡️ 18% от общего запаса rsETH исчезло
➡️ Основная транзакция слива достигла функции lzReceive в контракте EndpointV2 LayerZero
Основная транзакция слива
0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222
Ход атаки
➡️ Злоумышленник пополнил кошельки через Tornado Cash
➡️ Подделал межцепочечное сообщение для запуска выпуска моста
➡️ Немедленно начал перемещать средства через DeFi
Основные кошельки злоумышленника
0x5d3919f12bcc9e5f5b5274c1a3e3c2a6f2a257ccc
0xbb6a6006eb71a5c3c8c2c5d1c9d9c1c1d631c787
0x1f4c1c2e610f3b2c7f6e5a1c9b3d4a8db3adef
0xeba786c9517a4b3c2d1e6f5a9b8c7d6e68129b
0xcbb24a6b4daf3a2b1c4d5e6f7a8b9c0dae1455cc
0x8d11aeac74263b2a1c4e5f6a7b8c9d0e174c2d49
Как злоумышленник использовал украденный rsETH
➡️ Внес rsETH в Aave, Compound, Euler
➡️ Заимствовал ETH/WETH под залог
➡️ Обменял через Uniswap, Kyber и другие DEX
➡️ Открыл и сразу же вывел позиции
Оценка потоков
➡️ ~52 000+ ETH заимствовано
➡️ ~16 000+ ETH заимствовано
➡️ ~5 500+ ETH обменяно
➡️ ~74 000 ETH консолидировано
Настоящий ущерб
Залог rsETH теперь заморожен и сломан. Но заимствованный ETH — реальный и исчез.
➡️ Более $280 млн плохого долга остались в кредитных протоколах
Затронутые протоколы
➡️ Aave V3 — заморозил рынки rsETH, ожидается ~$177M плохой долг
➡️ Compound — подтверждено воздействие
➡️ Euler — подтверждено воздействие
Ответ Aave
➡️ Рынки rsETH заморожены на V3 и V4
➡️ Контракты Aave НЕ были взломаны, проблема в самом rsETH
➡️ Модуль Umbrella может урезать стейкеров aWETH для покрытия дефицита
Цепная реакция
➡️ SparkLend и Fluid заморозили рынки rsETH
➡️ Lido приостановил депозиты earnETH (stETH/wstETH в безопасности)
➡️ Ethena приостановила мосты LayerZero в качестве меры предосторожности
➡️ Upshift остановил vaults High Growth ETH и Kelp Gain
Влияние на рынок
➡️ $AAVE упал на 19% всего за 3 дня
➡️ $ETH падение из-за опасений распространения DeFi
➡️ Курс rsETH находится под серьезным риском в течение уикенда
Предупреждение для розницы:
Если у вас есть rsETH на любом L2, проверьте, поддерживается ли ваша обертка. Если вы застейкали aWETH в Umbrella Aave, ожидайте возможных штрафов. Аварийная пауза Kelp заблокировала еще одну $100M попытку, без нее убытки достигли бы $391 млн.
Мост → DeFi → Плохой долг.
Это еще не конец. Будьте осторожны.