#KelpDAOBridgeHacked 1. Техническая уязвимость "Поддельное сообщение"

Атака стала мастер-классом в использовании композиционной уязвимости. Уязвимость находилась в инфраструктуре моста (используя LayerZero), соединяющем rsETH KelpDAO через несколько цепочек.
Подделка: Злоумышленники создали вредоносную межцепочечную нагрузку, которая обошла слой проверки. Мост неправильно "подтвердил" легитимность крупного депозита, который никогда не происходил в исходной цепочке.
Создание: Это позволило злоумышленнику создать 116 500 rsETH из воздуха в целевой цепочке.
"Циклическое" истощение: Вместо того чтобы продавать rsETH (что сразу бы обвалило цену), хакеры внесли фальшивый rsETH в качестве залога на Aave V3, Compound и Euler. Затем они взяли взаймы реальные ETH и стейбкоины под него.
Плохой долг: Поскольку залог был по сути "бесполезен" (без обеспечения), протоколы кредитования теперь сталкиваются с совокупным долгом более 230 миллионов долларов, так как реального базового актива для ликвидации нет.
2. Влияние на рынок и распространение
Реакция рынка отражает страх "системного сбоя DeFi", а не просто потерю одного протокола.
3. Текущий статус восстановления
На понедельник после обеда, 20 апреля:
Статус протокола: KelpDAO успешно приостановил все контракты rsETH в Mainnet и L2 (включая Unichain).
Лимиты кредитования: Aave и Compound заморозили рынки rsETH. Пользователи не могут вносить депозиты или брать займы, хотя существующие позиции сейчас "заблокированы" до разрешения ситуации.
Расследование: Компании по безопасности Cyvers и PeckShield работают с командой LayerZero для отслеживания средств, которые в настоящее время проходят через анонимайзеры.
4. Основные выводы на 2026 год
Это событие стало крупнейшей уязвимостью DeFi 2026 года и выявило три критических сбоя:
Хрупкость моста: Даже решения "омничайн" по сути уязвимы к самым мелким проверочным лазейкам.
Риск LRT: Токены ликвидного повторного залога (LRTs) создают "рекурсный" риск. Когда один актив используется пять раз как залог, $300M хак может угрожать более чем $5 млрд общей ликвидности.
Проблема "скорости": На устранение уязвимости потребовалось всего 46 минут. Традиционные механизмы "паузы" безопасности сейчас слишком медленны, чтобы остановить атаки, усиленные ИИ или высоко автоматизированные скрипты.