# DeFiSecurity

#rsETHAttackUpdate : Технічний аналіз найбільшої міжланцюгової атаки DeFi
18 квітня 2026 року протокол rsETH KelpDAO зазнав злома на суму $292 мільйонів через міст LayerZero, що стало одним із найзначніших інцидентів у сфері безпеки DeFi. Ця довідка аналізує вектори атаки, каскадні ефекти та структурні вразливості, що були виявлені.
Огляд атаки
Зловмисник створив 116 500 не забезпечених токенів rsETH (18% від загальної емісії), зламавши міжланцюгову інфраструктуру KelpDAO. Атака була спрямована на критичну архітектурну слабкість: міст KelpDAO працював у конфігурації a1-of-1 DVN (Децентралізована мережа валідаторів), що робило LayerZero Labs єдиним підтверджувачем для міжланцюгових повідомлень.
Технічне виконання
Атака здійснювалася за допомогою складної багатофазної стратегії:
1. Проникнення в інфраструктуру: Зловмисники отримали доступ до RPC-нодів, що використовуються DVN LayerZero, замінивши легітимні бінари op-geth на шкідливі версії, які подавали підроблені дані виключно на IP-адреси DVN.
2. Маніпуляція трафіком: За допомогою DDoS-атак на чисті ноди зловмисники примусили повністю перейти на зламану інфраструктуру, забезпечуючи маршрутизацію всього підтверджувального трафіку через заражені кінцеві точки.
3. Підробка повідомлень: Вигадане міжланцюгове повідомлення, що стверджувало про походження від розгортання KelpDAO Unichain, було підтверджено за допомогою підробленого стану в мережі, пройшовши через мульти-сиг multisig 2-of-3.
4. Виведення токенів: Міст випустив 116 500 rsETH на адреси, контрольовані зловмисником, у одній транзакції, створюючи не забезпечені токени без підкріплення заставою.
Аналіз атрибуції вказує на групу Lazarus з Північної Кореї (TraderTraitor), відому за просунуті крипто-зломи, спрямовані на фінансову інфраструктуру.
Фінансові каскадні ефекти
Зловмисник одразу використав не забезпечені rsETH як заставу у ринках Aave V3 і V4:
- Позичив 52 834 WETH на мережі Ethereum
- Позичив 29 782 WETH і 821 wstETH на Arbitrum
- Загальний обсяг виведення: приблизно 83 427 WETH і wstETH. Це спричинило значний борг у кредитних ринках Aave. Протокол відповів упродовж кількох годин, заморозивши ринки rsETH і видаливши можливість позик, але шкода поширилася на весь DeFi:
- Виведено понад $7 мільярдів доларів з провідних протоколів
- Aave втратив 6,2 мільярда доларів (23% від загальної вартості активів)
- Аналогічні витоки відбулися у Morpho, Sky та Jupiter Lend
- Панічні зняття торкнулися навіть непошкоджених протоколів на Solana
Багато протоколів і мереж запровадили заходи з ліквідації наслідків:
- KelpDAO призупинив контракти rsETH у мережах mainnet і L2
- Arbitrum заморозив 30 000 ETH ($71 мільйонів), пов’язаних із зломленими адресами
- Tether заморозив 1 мільйон USDT на двох гаманцях Tron
- Спільнота Aave ініціювала обговорення щодо постійного виключення rsETH
Структурні вразливості, що були виявлені
Злом показує фундаментальні слабкості у міжланцюговій архітектурі DeFi:
Централізована валідація: Попри маркетинг децентралізації, мости часто покладаються на концентровану перевірку. Конфігурація 1-of-1 DVN створила катастрофічну точку відмови.
Збої у межах довіри: Атака сталася на перетині верифікації повідомлень LayerZero і прийому мосту KelpDAO, що демонструє, як модульна безпека без надійних стандартів створює системний ризик.
Підсилення за допомогою компонованості: Зловмисники використали не забезпечені токени у кількох протоколах, що показує, як взаємозалежність DeFi посилює наслідки окремих збоїв.
Реальність управління: DeFi функціонує у середовищі, де теоретична децентралізація маскує практичну концентрацію контролю, ускладнюючи відповідальність і реагування у надзвичайних ситуаціях.
Вплив на індустрію
Цей інцидент має значні наслідки для розвитку DeFi:
Стандарти безпеки: Мости міжланцюгових рішень потребують розподілених механізмів валідації та усунення єдиних точок відмови. Індустрія має встановити мінімальні стандарти безпеки для архітектури мостів.
Оцінка ризиків: Протоколи кредитування потребують перевірки застави у реальному часі та більш строгого оцінювання підкріплення активів перед прийняттям депозитів.
Аварійні протоколи: Швидке заморожування ринків є необхідним, але реактивні заходи не можуть замінити запобіжну архітектуру безпеки.
Регуляторний нагляд: Зломи такого масштабу прискорюють увагу регуляторів і тиск щодо відповідності протоколів DeFi.
Облік і аудит: Аудитори стикаються з фундаментальними труднощами у оцінці ефективності контролю, коли валідація залежить від потенційно скомпрометованої поза-ланцюгової інфраструктури.
Ключові уроки
Для розробників і учасників:
1. Архітектура безпеки мостів вимагає багатопідписної розподіленої валідації, а не перевірки однією особою.
2. Забезпечення застави має бути перевіряємим у реальному часі, особливо для міжланцюгових активів.
3. Компонованість протоколів створює системний ризик, що потребує всебічної оцінки безпеки.
4. Можливості швидкого реагування мають бути збалансовані з превентивними заходами безпеки.
5. Необхідна ретельна перевірка безпеки базової інфраструктури перед внесенням коштів.
Висновок
Злом rsETH демонструє, що у DeFi дизайн мостів нерозривно визначає безпеку активів. Розподіл по ланцюгах не автоматично розподіляє ризик. Цей інцидент відкриває напруженість між швидким масштабуванням і надійною безпековою архітектурою, що визначає сучасний розвиток DeFi.
Атака відкриває істину: теоретична децентралізація часто маскує концентрацію контролю на практиці. Щоб DeFi досягла стійкої фінансової інфраструктури, індустрія має вирішити ці архітектурні вразливості через більш строгі стандарти, розподілені механізми валідації та пріоритет безпеки над швидкістю розгортання.
Каскадні наслідки для Aave та інших протоколів показують, як швидко збої окремих мостів стають системними кризами. Зі зростанням DeFi безпека міжланцюгових рішень має перейти від додаткової функції до фундаментального принципу дизайну.
Попереднє приписування державним акторам додає геополітичний вимір до викликів безпеки DeFi. Висока складність атак свідчить про можливе зростання їхньої складності та впливу, тому проактивні інвестиції у безпеку є життєво важливими для виживання протоколів.
Цей інцидент, ймовірно, прискорить розробку більш стійких міжланцюгових рішень і спонукатиме до всебічної переоцінки ризиків, пов’язаних із мостами у екосистемі DeFi. Питання вже не в тому, чи можна забезпечити мости, а чи зможе індустрія запровадити належні стандарти безпеки до наступного зламу.

#rsETHAttackUpdate : Технічний аналіз найбільшої міжланцюгової атаки DeFi
18 квітня 2026 року протокол rsETH KelpDAO зазнав злома на суму $292 мільйонів через міст LayerZero, що стало одним із найзначніших інцидентів у сфері безпеки DeFi. Ця довідка аналізує вектори атаки, каскадні ефекти та структурні вразливості, що були виявлені.
Огляд атаки
Зловмисник створив 116 500 не забезпечених токенів rsETH (18% від загальної емісії), зламавши міжланцюгову інфраструктуру KelpDAO. Атака була спрямована на критичну архітектурну слабкість: міст KelpDAO працював у конфігурації a1-of-1 DVN (Децентралізована мережа валідаторів), що робило LayerZero Labs єдиним підтверджувачем для міжланцюгових повідомлень.
Технічне виконання
Атака здійснювалася за допомогою складної багатофазної стратегії:
1. Проникнення в інфраструктуру: Зловмисники отримали доступ до RPC-нодів, що використовуються DVN LayerZero, замінивши легітимні бінари op-geth на шкідливі версії, які подавали підроблені дані виключно на IP-адреси DVN.
2. Маніпуляція трафіком: За допомогою DDoS-атак на чисті ноди зловмисники примусили повністю перейти на зламану інфраструктуру, забезпечуючи маршрутизацію всього підтверджувального трафіку через заражені кінцеві точки.
3. Підробка повідомлень: Вигадане міжланцюгове повідомлення, що стверджувало про походження від розгортання KelpDAO Unichain, було підтверджено за допомогою підробленого стану в мережі, пройшовши через мульти-сиг multisig 2-of-3.
4. Виведення токенів: Міст випустив 116 500 rsETH на адреси, контрольовані зловмисником, у одній транзакції, створюючи не забезпечені токени без підкріплення заставою.
Аналіз атрибуції вказує на групу Lazarus з Північної Кореї (TraderTraitor), відому за просунуті крипто-зломи, спрямовані на фінансову інфраструктуру.
Фінансові каскадні ефекти
Зловмисник одразу використав не забезпечені rsETH як заставу у ринках Aave V3 і V4:
- Позичив 52 834 WETH на мережі Ethereum
- Позичив 29 782 WETH і 821 wstETH на Arbitrum
- Загальний обсяг виведення: приблизно 83 427 WETH і wstETH. Це спричинило значний борг у кредитних ринках Aave. Протокол відповів упродовж кількох годин, заморозивши ринки rsETH і видаливши можливість позик, але шкода поширилася на весь DeFi:
- Виведено понад $7 мільярдів доларів з провідних протоколів
- Aave втратив 6,2 мільярда доларів (23% від загальної вартості активів)
- Аналогічні витоки відбулися у Morpho, Sky та Jupiter Lend
- Панічні зняття торкнулися навіть непошкоджених протоколів на Solana
Багато протоколів і мереж запровадили заходи з ліквідації наслідків:
- KelpDAO призупинив контракти rsETH у мережах mainnet і L2
- Arbitrum заморозив 30 000 ETH ($71 мільйонів), пов’язаних із зломленими адресами
- Tether заморозив 1 мільйон USDT на двох гаманцях Tron
- Спільнота Aave ініціювала обговорення щодо постійного виключення rsETH
Структурні вразливості, що були виявлені
Злом показує фундаментальні слабкості у міжланцюговій архітектурі DeFi:
Централізована валідація: Попри маркетинг децентралізації, мости часто покладаються на концентровану перевірку. Конфігурація 1-of-1 DVN створила катастрофічну точку відмови.
Збої у межах довіри: Атака сталася на перетині верифікації повідомлень LayerZero і прийому мосту KelpDAO, що демонструє, як модульна безпека без надійних стандартів створює системний ризик.
Підсилення за допомогою компонованості: Зловмисники використали не забезпечені токени у кількох протоколах, що показує, як взаємозалежність DeFi посилює наслідки окремих збоїв.
Реальність управління: DeFi функціонує у середовищі, де теоретична децентралізація маскує практичну концентрацію контролю, ускладнюючи відповідальність і реагування у надзвичайних ситуаціях.
Вплив на індустрію
Цей інцидент має значні наслідки для розвитку DeFi:
Стандарти безпеки: Мости міжланцюгових рішень потребують розподілених механізмів валідації та усунення єдиних точок відмови. Індустрія має встановити мінімальні стандарти безпеки для архітектури мостів.
Оцінка ризиків: Протоколи кредитування потребують перевірки застави у реальному часі та більш строгого оцінювання підкріплення активів перед прийняттям депозитів.
Аварійні протоколи: Швидке заморожування ринків є необхідним, але реактивні заходи не можуть замінити запобіжну архітектуру безпеки.
Регуляторний нагляд: Зломи такого масштабу прискорюють увагу регуляторів і тиск щодо відповідності протоколів DeFi.
Облік і аудит: Аудитори стикаються з фундаментальними труднощами у оцінці ефективності контролю, коли валідація залежить від потенційно скомпрометованої поза-ланцюгової інфраструктури.
Ключові уроки
Для розробників і учасників:
1. Архітектура безпеки мостів вимагає багатопідписної розподіленої валідації, а не перевірки однією особою.
2. Забезпечення застави має бути перевіряємим у реальному часі, особливо для міжланцюгових активів.
3. Компонованість протоколів створює системний ризик, що потребує всебічної оцінки безпеки.
4. Можливості швидкого реагування мають бути збалансовані з превентивними заходами безпеки.
5. Необхідна ретельна перевірка безпеки базової інфраструктури перед внесенням коштів.
Висновок
Злом rsETH демонструє, що у DeFi дизайн мостів нерозривно визначає безпеку активів. Розподіл по ланцюгах не автоматично розподіляє ризик. Цей інцидент відкриває напруженість між швидким масштабуванням і надійною безпековою архітектурою, що визначає сучасний розвиток DeFi.
Атака відкриває істину: теоретична децентралізація часто маскує концентрацію контролю на практиці. Щоб DeFi досягла стійкої фінансової інфраструктури, індустрія має вирішити ці архітектурні вразливості через більш строгі стандарти, розподілені механізми валідації та пріоритет безпеки над швидкістю розгортання.
Каскадні наслідки для Aave та інших протоколів показують, як швидко збої окремих мостів стають системними кризами. Зі зростанням DeFi безпека міжланцюгових рішень має перейти від додаткової функції до фундаментального принципу дизайну.
Попереднє приписування державним акторам додає геополітичний вимір до викликів безпеки DeFi. Висока складність атак свідчить про можливе зростання їхньої складності та впливу, тому проактивні інвестиції у безпеку є життєво важливими для виживання протоколів.
Цей інцидент, ймовірно, прискорить розробку більш стійких міжланцюгових рішень і спонукатиме до всебічної переоцінки ризиків, пов’язаних із мостами у екосистемі DeFi. Питання вже не в тому, чи можна забезпечити мости, а чи зможе індустрія запровадити належні стандарти безпеки до наступного зламу.

#KelpDAOBridgeHacked
Злом моста KelpDAO: Технічний аналіз та вплив на індустрію
18 квітня 2026 року міст rsETH між ланцюгами KelpDAO зазнав найбільшого злому DeFi у 2026 році, внаслідок якого зловмисники вивели приблизно 116 500 rsETH, оцінюваних приблизно у $292 мільйонів. Інцидент становить близько 18% від загального обігу rsETH і спричинив каскадні ефекти у всій екосистемі DeFi.
Аналіз вектору атаки
Злом був здійснений за допомогою складної багатоступеневої атаки, спрямованої на інфраструктуру LayerZero. Зловмисники спочатку зламали два незалежні RPC-ноді, керовані LayerZero Labs, замінивши легітимні бінарні файли op-geth на шкідливі версії. Ці заражені ноди були спеціально налаштовані для обману мережі децентралізованих перевіряльних вузлів LayerZero (DVN), при цьому зберігаючи правдиві відповіді для інших систем моніторингу, ефективно уникаючи виявлення.
Послідовність атаки включала скоординований DDoS-удар по третьому чистому RPC-ноді, що змусило DVN перейти на зламану інфраструктуру. Конфігурація моста KelpDAO використовувала схему 1 з 1 DVN, тобто для підтвердження міжланцюгових повідомлень потрібен був лише DVN LayerZero Labs. Заражені ноди успішно підтвердили сфабриковану транзакцію спалювання на Unichain, яку relay-система EndpointV2 передала до OFT-адаптера KelpDAO, що спричинило несанкціонований випуск резервів основної мережі.
Після зламу зловмисник систематично відмивав викрадені rsETH через кілька гаманців, депонуючи кошти як заставу на ринках Aave V3 у мережах Ethereum та Arbitrum. Зловмисник отримав приблизно 75 700 WETH в Ethereum та 30 800 WETH в Arbitrum, досягнувши коефіцієнта позики до вартості близько 99%, перш ніж протокол зупинив подальше позичання.
Атрибуція та профіль зловмисника
Фахівці з безпеки та аналітики блокчейну приписують атаку групі Lazarus з Північної Кореї, зокрема кластеру TraderTraitor. Характеристики операцій відповідають задокументованим методам Lazarus: терплячі тактики вторгнення, маніпуляції з довіреною інфраструктурою та складні механізми пригнічення виявлення. Зловмисне програмне забезпечення після зламу самостійно знищило себе, систематично стираючи сліди слідчих доказів з компрометованих систем.
Реакція протоколу та обмеження
Aave відповів протягом кількох годин, заморозивши ринки rsETH у версіях V3 та V4, включно з інтеграцією SparkLend. На даний момент протокол має приблизно $177 мільйонів у поганому боргу, переважно зосередженого в Arbitrum. Загальна заблокована вартість у екосистемі Aave знизилася з $26 мільярдів до $18 мільярдів, що становить виведення капіталу на суму від 8 до 14 мільярдів доларів.
Поширення інциденту вийшло за межі Aave: понад 15 протоколів запровадили екстрені паузи мостів. Пули WETH зазнали 100% використання, що створює додаткові ризики ліквідації для позичальників з підвищеним плечем. KelpDAO заблокував адреси зловмисників і стверджує, що запобіг ще одному $95 мільйону у спробах подальших атак.
Спірний аналіз кореневої причини
Має місце суттєвий спір між KelpDAO та LayerZero щодо основної відповідальності. LayerZero стверджує, що конфігурація 1 з 1 DVN у KelpDAO відхиляється від рекомендованих практик безпеки, наголошуючи, що сам протокол не містив вразливостей і що інцидент був ізольований до інфраструктури rsETH. LayerZero пізніше виправив уразливі системи DVN та RPC.
KelpDAO заперечує, що стандартна документація та швидкий старт LayerZero рекомендували схему 1 з 1, і стверджує, що відповідальність за безпеку RPC-нод лежить на провайдері інфраструктури. Обидві сторони погоджуються, що уразливості смарт-контрактів не були використані; корінь проблеми — у довірчих припущеннях щодо одноточкових відмов.
Вплив на безпеку DeFi
Інцидент виявляє критичні вразливості у архітектурі міжланцюгових мостів, зокрема щодо безпеки RPC-інфраструктури. RPC-ноді стали системним слабким місцем, оскільки більшість протоколів покладаються на обмежену кількість провайдерів без достатньої диверсифікації відмов. Злом демонструє, що навіть складні системи багатопідпису та верифікації можна зламати, якщо джерела даних зламані.
Аналітики рекомендують негайно впровадити конфігурації з кількома DVN, диверсифіковані мережі RPC-провайдерів та системи аудиту конфігурацій у реальному часі. Модульна архітектура безпеки LayerZero обмежила радіус ураження саме rsETH, без впливу інших OFT або OApp контрактів, що свідчить про здатність системи зберігати стійкість навіть під час цілеспрямованих атак на інфраструктуру.
Поточний стан та зусилля з відновлення
Голосування в Aave наразі обговорює механізми соціалізації боргу для вирішення ситуації з поганим боргом. KelpDAO, LayerZero та Aave створили канали координації для операцій відновлення. Колектив безпеки блокчейну Seal-911 активно відслідковує рухи коштів, частина викрадених активів проходить через Tornado Cash та інші протоколи маскування. Канали переговорів з хакерами залишаються відкритими, хоча підтверджень відновлення станом на час написання немає.
Злом встановлює новий рекорд для DeFi-хаків 2026 року, перевищуючи інцидент з Drift Protocol на суму $285 мільйонів від 1 квітня. Інцидент підсилює постійні побоювання щодо безпеки мостів як основного вектору атак у DeFi, а міжланцюгова інфраструктура залишається найгарячішою точкою безпеки в екосистемі.
#KelpDAO #DeFiSecurity #BridgeExploit #CryptoNews