#rsETHAttackUpdate

Зламаний міст Kelp DAO, шок на 10 мільярдів доларів для DeFi
У суботу 18 квітня 2026 року криптовалютний ринок зазнав найбільшої атаки DeFi за рік. Хакери вивели рівно 116 500 rsETH, що приблизно дорівнює 292 мільйонам доларів, з мосту, побудованого на LayerZero, який переміщує токен rsETH Kelp DAO між ланцюгами. Експлуатація сталася в одній транзакції о 17:35 UTC. Зловмисники обманули міст за допомогою підробленого пакету LayerZero і опустошили rsETH.
Що сталося? Технічний аналіз
Вразливість одного DVN: Маршрут мосту Unichain до Ethereum працював на конфігурації 1 з 1 DVN, тобто активним був лише один перевіряльник. Зловмисник маніпулював RPC-нодами, створив підроблений пакет і отримав підпис від єдиного перевіряльника.
Міст опустошений: Адаптер OFT на Ethereum тримав 116 723 rsETH. Після атаки баланс знизився до 223 rsETH всього за один блок.
Куди поділися гроші: Зі вкрадених rsETH 89 567 були внесені як заставу в Aave V3. Хакер потім позичив 82 650 WETH і 821 wstETH проти них. Фактори здоров’я коливалися між 1.01 і 1.03, тому позиції були на межі ліквідації.
Команда Kelp DAO натиснула на екстрений мультиsig і зупинила всі контракти за 46 хвилин. Якби вони не діяли, зловмисник міг би вивести ще 40 000 rsETH і збільшити загальні збитки до 391 мільйона доларів.
Вплив на криптовалютний ринок: Як падали доміно
1. Ліквідністьний криз у Aave
Aave тримав 83 відсотки від загального запасу rsETH. З хакером, що постачав заставу і позичав, Aave раптово опинився під ризиком потенційних збитків у розмірі від 124 до 230 мільйонів доларів.
Результат:
TVL Aave знизився з 45 мільярдів до 30 мільярдів доларів за три дні, що становить зниження на 33 відсотки.
Користувачі панікували і вивели кошти. Близько 10,1 мільярда доларів активів покинули протокол.
Відсоткові ставки за ETH підскочили з 2 до 8 відсотків, що є найвищим рівнем з принаймні січня 2024 року.
Відсоткові ставки за USDT і USDC зросли з 3.4 до 14 відсотків.
Aave заморозив ринки rsETH і wrsETH у 11 мережах, включаючи Ethereum, Arbitrum, Avalanche, Base, Linea і Mantle.
2. Цінова дія і зниження TVL
Токен AAVE втратив від 15 до 18 відсотків своєї вартості.
Загальний TVL DeFi знизився з 99 мільярдів до 89 мільярдів доларів 18 квітня, знищивши 10 мільярдів доларів.
Джастін Сон вивів 65 580 ETH у одній транзакції, приблизно на 154 мільйони доларів.
3. Циклічна реакція
SparkLend і Fluid також закрили свої ринки rsETH. Lido припинив нові депозити у продукти, пов’язані з rsETH. Інфраструктура реле продовжувала працювати, але виведення з сейфів зупинилося через заставу, що була заблокована у ринку WETH Aave.
Хто відповідальний? Всі погляди спрямовані
LayerZero звинуватив групу Lazarus. Звіт RWATimes вказав їхню підгрупу TraderTraitor. Гаманці зловмисників фінансувалися через Tornado Cash.
Важлива деталь: За даними Llamarisk і звітом Aave, власні контракти Aave не були зламані. Проблема цілком полягала у конфігурації мосту Kelp DAO.
План відновлення: рятувальний кредит у 30 000 ETH
Mantle запропонував позичити до 30 000 ETH для Aave DAO, щоб покрити збитки. Термін позики становитиме 36 місяців із відсотковою ставкою, що дорівнює доходу Lido плюс 1 відсоток. Стані Кулєчов оголосив про підтримку фразою DeFi United.
Kelp DAO вдалося відновити 40 373 rsETH. Це покриває лише 26 відсотків від 152 577 rsETH попиту по всіх L2. Версія rsETH у мейннеті наразі не постраждала, оскільки вона безпосередньо підтримується стейкінгом.
Три уроки з цієї інциденту
1. Безпека мосту — це безпека DeFi: запуск одного перевіряльника DVN означає довіру до пакету на 292 мільйони доларів. Проекти, що використовують LayerZero, ймовірно, тепер вимагатимуть багатоконтрольних налаштувань DVN і опційних перевіряльників.
2. Системний ризик у LRT: коли ліквідні токени повторного стейкінгу, такі як rsETH, концентруються у великих протоколах, наприклад Aave, один експлойт може потрясти весь ринок. Тримати 83 відсотки в одному протоколі — це надто велика експозиція.
3. Орекули відстають: під час хаку Aave все ще оцінював rsETH близько до паритету і дозволяв позики на 106 467 ETH. Експлуатація мосту не відобразилася швидко у цінових стрічках.
Що буде далі
Короткостроково, версії rsETH на L2 залишаться неликвідними. 40 373 rsETH у мосту не зможуть покрити всі rsETH на L2. Це означає, що rsETH на Arbitrum, Base і Mantle тимчасово діятимуть як квитанції без сейфа.
У середньостроковій перспективі, якщо збитки Aave будуть погашені через кредит Mantle і погашення Kelp DAO, довіра може відновитися. Регулятори ймовірно посилять контроль стандартів мостів. Як повідомляє Al Jazeera Economy, ця атака є частиною зростаючої тенденції порушень безпеки DeFi у 2026 році.
Остаточна думка
#rsETHAttackUpdate не просто вразив Kelp DAO. Втрата Aave 10 мільярдів доларів показала, наскільки тісно пов’язані всі аспекти DeFi. У майбутньому важливішим стане питання, хто аудить міст, ніж яка ставка APY.
Залишайтеся з нами, оскільки досі незрозуміло, як Kelp DAO розподілить відновлені 40 373 rsETH. Це рішення визначить збитки для власників rsETH на L2.