Один‑единственный эксплойт Kelp DAO и его моста на базе LayerZero превратился в крупнейшую DeFi‑утечку 2026 года: злоумышленник вывел около 116 500 rsETH на сумму примерно $292 млн в 17:35 по UTC в субботу, а затем внёс украденные токены в Aave (AAVE), Compound и Euler (EUL), чтобы выжать ещё сотни миллионов в заёмном WETH.
Теперь практически все крупные рынки кредитования в сети Ethereum (ETH) вводят экстренные заморозки.
Как атакующий обманул LayerZero
Мост Kelp опирается на межсетевое сообщение LayerZero для выпуска и вывода rsETH более чем в двадцати сетях.
Следователи утверждают, что эксплойтер подал мосту поддельную инструкцию, которая выглядела как валидное сообщение из другой сети, в результате чего мост выпустил 116 500 rsETH на адрес, контролируемый атакующим.
Ончейн‑аналитик ZachXBT первым заметил вывод средств и подтвердил, что мост так и не получил соответствующий входящий перевод, который должен был подкреплять выпуск.
Спираль плохих долгов в Aave V3
В течение нескольких минут после выпуска атакующий перевёл украденный rsETH в Aave V3, Compound V3 и Euler как залог и занял свыше $236 млн в WETH на трёх рынках.
Поскольку внесённый rsETH не был обеспечен реальным активом, кредитные протоколы остались с залогом в виде токена, который больше не представлял реальный restaked Ether.
Также читайте: Why Does An Oil Lane 7,000 Miles Away Control The Bitcoin Price
Управление Aave уже приостановило новые депозиты rsETH, а токен AAVE просел примерно на 10 %, поскольку рынок заложил риск потенциальных плохих долгов.
Двадцать сетей с застрявшим «обёрнутым» эфиром
rsETH обращается более чем в двадцати L2 и сайдчейнах, и эксплойт в одной цепочке поставил под сомнение, остаётся ли обеспеченным выпуск rsETH в любых из этих сетей.
Fluid и SparkLend вслед за Aave заморозили рынки rsETH в течение нескольких часов. Около 18 % из общего обращения в 630 000 rsETH было выведено в одной транзакции, по данным, на которые ссылается CoinDesk.
За чем следить дальше
Команда Kelp DAO открыла 24‑часовое окно переговоров с потенциальным «белым хакером» и координируется с LayerZero по итоговому разбору инцидента.
Главный ближайший вопрос — смогут ли держатели rsETH в не‑Ethereum сетях получить полную компенсацию и придётся ли депозиторам Aave покрывать часть образовавшихся плохих долгов.
Эксплойт также вновь обострил более широкий спор внутри DeFi: стоит ли вообще принимать любой вид restaked Ether как «голубой фишки» среди залоговых активов.
Читайте далее: What Happens When the Most Powerful AI Gets Its Own Crypto Wallet