#KelpDAOBridgeHacked 1. Технічна експлуатація "Підробленого повідомлення"

Атака була майстер-класом у використанні комодитності. Уразливість знаходилася у мостовій інфраструктурі (з використанням LayerZero), що з'єднувала rsETH KelpDAO через кілька ланцюгів.
Підробка: Зловмисники створили шкідливий міжланцюговий вантаж, який обійшов рівень перевірки. Міст неправильно "засвідчив" легітимність великого депозиту, який ніколи не відбувся у вихідному ланцюгу.
Мінт: Це дозволило зловмиснику створити 116 500 rsETH з повітря на цільовому ланцюгу.
"Циклічне" висмоктування: Замість продажу rsETH (що негайно б обвалило ціну), хакери внесли фальшивий rsETH як заставу на Aave V3, Compound і Euler. Потім вони позичили реальний ETH і стабільні монети під цю заставу.
Поганий борг: Оскільки застава була фактично "безцінною" (без підкріплення), протоколи кредитування тепер стикаються з сумарним боргом понад 230 мільйонів доларів, оскільки реального активу для ліквідації немає.
2. Вплив на ринок та поширення
Реакція ринку відображає страх перед "системною несправністю DeFi", а не просто втрату окремого протоколу.
3. Поточний стан відновлення
На понеділок після обіду, 20 квітня:
Статус протоколу: KelpDAO успішно зупинив усі контракти rsETH на Mainnet і L2, включно з Unichain.
Ліміти кредитування: Aave і Compound заморозили ринки rsETH. Користувачі не можуть вносити або позичати додатково, хоча існуючі позиції наразі "застрягли" до вирішення ситуації.
Розслідування: Компанії з безпеки Cyvers і PeckShield співпрацюють із командою LayerZero для відслідковування коштів, які наразі проходять через приватні міксери.
4. Основні висновки на 2026 рік
Ця подія стала найбільшою експлуатацією DeFi у 2026 році і підкреслює три критичні збої:
Крихкість мостів: Навіть "омнічейн" рішення мають слабке місце у найменшій перевірочній лазівці.
Ризик LRT: Ліквідні токени повторного застовування (LRTs) створюють "рекурсивний" ризик. Коли один актив використовується п’ять разів як застава, (хак може загрожувати понад $5 млрд загальної ліквідності.
Проблема "швидкості": 46 хвилин було достатньо, щоб спорожнити систему. Традиційні механізми "паузи" безпеки наразі занадто повільні, щоб зупинити атаки, посилені ШІ або високотехнологічними автоматизованими скриптами.