Wu Blockchain сообщает, что Kelp DAO стал жертвой масштабного кросс-чейн эксплойта, в результате которого было похищено приблизительно 116 500 rsETH на сумму почти $292 млн. Инцидент вызывает новую волну беспокойства относительно безопасности протокола, произойдя менее чем через год после предыдущего сбоя, связанного с ошибкой в смарт-контракте.
Быстрая реакция Kelp DAO предотвратила дополнительные попытки эксплойта
Согласно данным блокчейна, атака на Kelp DAO использовала уязвимость в кросс-чейн коммуникации, в частности, нацелившись на механизм моста, используемый для передачи активов между сетями. Эксплойт был выполнен через вызов функции "Iz Receive" на EndpointV2 от LayerZero, что в конечном итоге инициировало перевод средств на кошелек, контролируемый злоумышленником.
Ончейн-исследователь ZachXBT был одним из первых, кто обнаружил взлом, оценив потери в размере более $280 млн в сетях Ethereum и Arbitrum. Исследователь также отметил, что адреса атаки изначально пополнялись через Tornado Cash, что указывает на преднамеренную попытку скрыть источники финансирования для этой тщательно скоординированной атаки.
Сегодня ранее мы выявили подозрительную кросс-чейн активность с участием rsETH. Мы приостановили работу контрактов rsETH в мейннете и нескольких L2-сетях, пока проводим расследование.
Мы работаем с @LayerZero_Core, @unichain, нашими аудиторами и ведущими экспертами по безопасности над анализом первопричин (RCA).
Мы будем держать вас...
— Kelp (@KelpDAO) 18 апреля 2026 г.
В ответ на эту атаку Kelp DAO немедленно приостановил работу всех контрактов rsETH в своей основной сети и подключенных L2-сетях. Протокол также заморозил активность в своих основных контрактах и системах, охватывающих депозиты, вывод средств и функции оракулов. По данным Kelp DAO, расследование продолжается совместно с LayerZero и Unichain.
Примечательно, что злоумышленник предпринял две дополнительные транзакции, чтобы вывести еще 40 000 rsETH на сумму около $100 млн. Однако оперативные меры Kelp DAO обеспечили провал обеих попыток, не позволив убыткам вырасти до $391 млн.
Aave замораживает контракты rsETH
Последствия быстро распространились за пределы Kelp DAO, и кредитные протоколы ощутили немедленное давление. Aave, одна из крупнейших DeFi-платформ для кредитования, отреагировала, заморозив рынки rsETH в своих развертываниях V3 и V4.
Тем не менее, Aave пояснила, что ее собственные смарт-контракты не были скомпрометированы, и эта мера является чисто предупредительной для ограничения дальнейшего долгового exposure к rsETH по мере оценки ситуации. Руководство Aave также намерено оценить потенциальные стратегии смягчения последствий, если в результате эксплойтов возникнет плохой долг.
Рынки rsETH на Aave V3 и Aave V4 заморожены. Контракты Aave не были взломаны, и этот эксплойт связан с rsETH.
Заморозка последовала за эксплойтом моста rsETH Kelp DAO. Заморозка рынков rsETH предотвращает новые депозиты и займы под залог rsETH...
— Aave (@aave) 18 апреля 2026 г.
rsETH сам по себе является ликвидным токеном рестейкинга, предназначенным для представления стейкингового ETH, одновременно позволяя пользователям получать дополнительный доход через стратегии рестейкинга. Он играет ключевую роль в кросс-чейн DeFi, позволяя капиталу беспрепятственно перемещаться между множеством сетей, включая Arbitrum, Base и Scroll. Масштаб эксплойта особенно разрушителен, поскольку похищенные средства составляют примерно 18% от общего объема обращения rsETH, что наносит значительный удар как по ликвидности, так и по доверию пользователей.
