Погане ранкове: $293M Злом Kelp DAO: найбільша експлуатація DeFi 2026 року

Що сталося
Міст rsETH Kelp DAO (@KelpDAO) був зламаний через LayerZero.
➡️ 116 500 rsETH виведено (~$293M за кілька хвилин)
➡️ 18% від загального обсягу rsETH, зникло
➡️ Основна транзакція зливу торкнулася функції lzReceive у контракті EndpointV2 LayerZero
Основна транзакція зливу
0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222
Хід атаки
➡️ Зловмисник фінансував гаманці через Tornado Cash
➡️ Підробив міжланцюжне повідомлення для запуску випуску мосту
➡️ Негайно почав переміщувати кошти через DeFi
Основні гаманці зловмисника
0x5d3919f12bcc9e5f5b5274c1a3e3c2a6f2a257ccc
0xbb6a6006eb71a5c3c8c2c5d1c9d9c1c1d631c787
0x1f4c1c2e610f3b2c7f6e5a1c9b3d4a8db3adef
0xeba786c9517a4b3c2d1e6f5a9b8c7d6e68129b
0xcbb24a6b4daf3a2b1c4d5e6f7a8b9c0dae1455cc
0x8d11aeac74263b2a1c4e5f6a7b8c9d0e174c2d49
Як зловмисник використав викрадені rsETH
➡️ Вніс rsETH у Aave, Compound, Euler
➡️ Позичив ETH/WETH під нього
➡️ Обміняв через Uniswap, Kyber та інші DEX
➡️ Відкрив і злив позиції миттєво
Оцінка потоків
➡️ ~52 000+ ETH позичено
➡️ ~16 000+ ETH позичено
➡️ ~5 500+ ETH обміняно
➡️ ~74 000 ETH консолідовано
Реальні збитки
Застава rsETH тепер заблокована і зламано. Але позичений ETH реальний і зник.
➡️ Більше $280М боргу залишилось у протоколах кредитування
Затронуті протоколи
➡️ Aave V3 — заблокував ринок rsETH, борг близько $177M поганого боргу
➡️ Підтверджено вплив на Compound
➡️ Підтверджено вплив на Euler
Відповідь Aave
➡️ Ринки rsETH заблоковані на V3 і V4
➡️ Контракти Aave НЕ зламані, проблема саме у rsETH
➡️ Модуль Umbrella може зменшити кількість стейкерів aWETH для покриття дефіциту
Ефект доміно
➡️ SparkLend і Fluid заблокували ринки rsETH
➡️ Lido призупинив депозити earnETH (stETH/wstETH у безпеці)
➡️ Ethena призупинила міжланцюжні мости LayerZero як запобіжний захід
➡️ Upshift зупинив Vaults High Growth ETH і Kelp Gain
Вплив на ринок
➡️ $AAVE знизився на 19% всього за 3 дні
➡️ $ETH пішов вниз через страхи поширення DeFi
➡️ Параритет rsETH під серйозною загрозою протягом вихідних
Попередження для роздрібних інвесторів:
Якщо ви тримаєте rsETH на будь-якому L2, перевірте, чи ваша обгорнута версія все ще забезпечена. Якщо ви застейкали aWETH у Umbrella від Aave, очікуйте можливого зниження. Надзвичайна зупинка Kelp заблокувала ще одну $100M спробу, інакше збитки склали б $391М.
Міст → DeFi → Поганий борг.
Це ще не кінець. Будьте обережні.