Хакер украл 292 млн долларов

Злоумышленник атаковал кросс-чейн мост протокола Kelp DAO и похитил 116,5 тыс. токенов rsETH. Это составляет примерно 18% от общего циркулирующего предложения токена. Сумма ущерба оценивается в 292 млн долларов.

Мост работал на базе технологии LayerZero и хранил резервы, которые обеспечивали выпуски rsETH на более чем двадцати других блокчейнах. Хакер обманул систему, отправив поддельную, но успешно верифицированную команду. В результате мост перевел средства на адрес злоумышленника.

Kelp DAO приостановил работу основных контрактов через 46 минут после взлома. Две последующие попытки вывести еще 40 тыс. rsETH (примерно на 100 млн долларов) были заблокированы.

Последствия быстро затронули другие протоколы. Aave заморозил рынки rsETH на версиях V3 и V4. Основатель Aave заявил, что сам протокол не был взломан. SparkLend и Fluid также заморозили свои пулы с rsETH. Цена токена Aave упала на 10%.

Lido Finance приостановил прием депозитов в продукт earnETH, который имеет отношение к rsETH, уточнив, что основные токены stETH и wstETH не пострадали. Эмитент стейблкоина Ethena временно остановил работу своих мостов для предотвращения рисков, подчеркнув, что сам не держит rsETH.

Kelp DAO признал факт взлома спустя почти три часа в официальном канале. Протокол ведёт расследование совместно с LayerZero, аудиторами и специалистами по безопасности. Причины, позволившие обойти защиту моста, пока не раскрыты.

Этот взлом стал крупнейшим в децентрализованных финансах в 2026 году. Ранее, в апреле, протокол Drift потерял около 285 млн долларов в результате атаки, которую связывают с группировками из Северной Кореи. С тех пор были взломаны ещё как минимум дюжина небольших протоколов, включая CoW Swap, Zerion, Rhea Finance и Silo Finance.

Судьба привязки rsETH теперь зависит от того, сколько держателей попытаются обменять свои токены на Ethereum, и сможет ли Kelp вернуть хотя бы часть украденных средств до того, как следы уйдут в миксеры.

Фото из открытых источников