Протокол ліквідного рестейкінгу KelpDAO зазнав масштабної атаки, внаслідок якої зловмисники вивели цифрові активи на суму близько $292 млн. Інцидент спричинив каскадну кризу ліквідності: з лендингової платформи Aave за 48 годин було виведено $8,45 млрд, а загальний відтік капіталу з сектору DeFi перевищив $13 млрд.
За даними інцидент-звіту LayerZero, атаку приписують угрупованню TraderTraitor, яке є підрозділом північнокорейської Lazarus Group. Загалом на початку 2026 року щонайменше 12 криптоплатформ зазнали зламів зі збитками на суму $606,2 млн.
Вектор атаки та механізм викрадення
KelpDAO дозволяє користувачам вносити криптовалюту Ether, отримувати дохідність та токен rsETH. Для переміщення rsETH між блокчейн-мережами протокол використовував міст на інфраструктурі передачі повідомлень LayerZero. Цей міст функціонував із конфігурацією з одним верифікатором для перевірки легітимності міжмережевих транзакцій.
18 квітня зловмисники скомпрометували два RPC-вузли, які передавали дані блокчейну на верифікатор, надіславши їм сфальшовані відомості. Одночасна DDoS-атака змусила верифікатор перемкнутися на отруєні ноди. Отримавши шахрайську команду, верифікатор схвалив її, і міст перевів 116 500 rsETH (близько 18% від обігу активу вартістю $292 млн) на адресу нападників. Першим індикатором майбутньої атаки став гаманець, профінансований через Tornado Cash за десять годин до зламу.
Після інциденту LayerZero звинуватила KelpDAO у використанні схеми з одним верифікатором. У KelpDAO заперечили, заявивши, що конфігурація за замовчуванням у LayerZero має таку ж архітектуру, а близько 40% протоколів на цій платформі працюють за аналогічною схемою.
Каскадні наслідки для Aave
Отримавши токени, нападник вніс 89 567 rsETH у платформу Aave як забезпечення та позичив під нього $190,86 млн у wrapped Ether. Ціновий оракул Aave автоматично перевіряв лише ринкову вартість, але не походження внесених активів, і оцінював rsETH за ціною до експлойту. До моменту, коли Aave заморозила ринки rsETH, протокол втратив $190 млн у реальному Ether, що спровокувало масштабний відтік депозитів.
Реклама · cv-finder.com
Створіть резюме з ШІ безкоштовно на CV-Finder
Готове до відгуку CV за кілька хвилин: шаблони, AI-асистент і перевірка ATS.
Що це означає для розробників
Розробникам розподілених систем слід уникати використання єдиної точки перевірки (single verifier) у міжсервісних мостах та інтеграціях. Також критично впроваджувати валідацію походження вхідних даних (provenance validation), а не лише їхньої поточної ціни, поряд із автоматизованими механізмами екстреного заморожування операцій (circuit breakers).
Ключові факти
-
З протоколу KelpDAO викрали 116 500 rsETH вартістю близько $292 млн.
-
Зловмисники скомпрометували два RPC-вузли та використали DDoS-атаку для перемикання верифікатора на підроблені дані.
-
LayerZero пов'язала атаку з угрупованням TraderTraitor (підрозділ Lazarus Group).
-
Через використання викраденого забезпечення на Aave платформа втратила $190 млн у wrapped Ether, а відтік депозитів за 48 годин склав $8,45 млрд.
-
KelpDAO зазначила, що близько 40% протоколів на LayerZero використовують конфігурацію з одним верифікатором.
Додайте Voydevich.com у бажані джерела Google, щоб частіше бачити наші новини в пошуку.
Реклама · cv-finder.com
Створіть резюме з ШІ безкоштовно на CV-Finder
Готове до відгуку CV за кілька хвилин: шаблони, AI-асистент і перевірка ATS.
Попередні статті
Зростання Ethereum: Макроекономічні Фактори та Інституційний Попит
Ethereum зріс на 2.27% на тлі сприятливих макроекономічних умов, інституційних потоків через ETF та розширення Layer-2 екосистеми.
Fidelity переміщує $499.55 млн в ETH, Bitmine продовжує накопичення на тлі волатильності Ethereum
Ethereum зіткнувся з волатильністю, але інституційні гравці, такі як Fidelity та Bitmine, демонструють активність, що може вплинути на майбутній рух ціни.
Росія забороняє майнінг криптовалют у Москві, Московській області та Курську до 2032 року
Росія запроваджує заборону на майнінг криптовалют та участь у майнінг-пулах у Москві, Московській області та частинах Курської області до кінця 2032 року, посилаючись на захист енергомережі.