Пока все следили за заголовками из Ормуза в эти выходные, DeFi пережил свою худшую атаку в 2026 году.
Злоумышленник вывел 116,500 rsETH — примерно 18% от обращения и приблизительно 292 миллиона долларов в стоимости — из моста Kelp, работающего на LayerZero, в субботу, вызвав экстренные заморозки в Aave, SparkLend, Fluid и Upshift. Упакованный эфир оказался заблокированным на 20 цепочках, поскольку атака распространилась через инфраструктуру межцепочного взаимодействия.
Давайте разберемся, что на самом деле произошло, потому что механика имеет значение.
Kelp DAO — это протокол ликвидного повторного стекинга, построенный на Ethereum. Пользователи вносят ETH или токены ликвидного стекинга, получают в ответ rsETH и могут использовать этот rsETH в различных DeFi-протоколах в качестве залога или для получения дохода. Протокол использует LayerZero — ведущую инфраструктуру для межцепочной передачи сообщений — чтобы сделать rsETH доступным на нескольких блокчейнах одновременно.
Эта кросс-цепочная функциональность оказалась вектором атаки. Нападающий использовал уязвимость в том, как мост LayerZero Kelp проверял балансы активов между цепями, что позволяло им создавать rsETH на целевых цепях без соответствующего депозита на исходной цепи. Проще говоря: они создали rsETH из ничего, а затем использовали его, чтобы слить реальные активы из связанных протоколов.
Масштаб заражения делает это особенно тревожным. Поскольку rsETH был интегрирован в качестве залога в нескольких ведущих DeFi-протоколах, экстренный ответ потребовал одновременной заморозки Aave, SparkLend, Fluid и Upshift — предотвращая новое заимствование под позиции rsETH, пока команды оценивали риски. Пользователи, у которых были законные позиции rsETH в качестве залога, временно не могли взаимодействовать со своими позициями в период заморозки.
Эксплуатация кросс-цепочных мостов уже третий год подряд является ведущим источником убытков в DeFi. Ronin ($625M, 2022), Wormhole ($320M, 2022), Nomad ($190M, 2022). Шаблон постоянен: сложность создает поверхность для атак, а сложность мостов в DeFi наивысшая.
Это не означает, что кросс-цепочная инфраструктура не подлежит исправлению. Но это означает, что каждый раз, когда вы мостите актив или используете кросс-цепочный протокол, вы доверяете коду, который исторически был самой уязвимой категорией в крипте. Аудиты безопасности, TVL, репутация команды — ничего из этого не предотвратило эти события последовательно.
Неудобный вопрос для индустрии: в какой момент композиция, которая делает DeFi мощным, становится системным риском, который делает его хрупким? На этот вопрос пока нет четкого ответа. Но $292M от Kelp DAO только усилило его.