استغلال KelpDAO: تم إنشاء 292 مليون دولار عبر جسر LayerZero من نوع 1 من 1، ويتعرض الآن 177 مليون دولار من الديون السيئة لـ Aave Umbrella. لم تكن أكبر عملية استخراج في DeFi عام 2026 نتيجة ثغرة في العقد، بل نتجت عن سطر واحد من التكوين. في الساعة 17:35 بتوقيت عالمي موحد في 18 أبريل، قام المهاجم بإرسال استدعاء lzReceive مزور عبر مُعدّل LayerZero OFT الخاص بـ @KelpDAO وأنشأ 116,500 من rsETH غير المدعومة — ما يقارب 18% من العرض، أي حوالي 293.5 مليون دولار. عملية واحدة، توقيع واحد. السبب الجذري: كان مُعدّل rsETH يعمل بـ requiredDVNCount: 1 مع @LayerZero_Labs كالمُحقق الوحيد. بروتوكول بقيمة تقييم إجمالي تجاوز مليار دولار، أمن جسره بنقطة فشل واحدة. السحب كان نموذجيًا. بدلاً من بيع الرموز في سيولة DEX، استخدم المهاجم الرموز غير المدعومة كضمان: • Aave Ethereum: اقترض 52,834 WETH • Aave Arbitrum: 29,782 WETH + 821 wstETH • مراكز أصغر على Compound V3 و Euler قبل تجميدها إجمالي ما تم اقتراضه: بين 200 مليون و236 مليون دولار، وتم توجيه أولى الخطوات عبر Tornado Cash خلال 20 دقيقة. أوقفت KelpDAO العقود خلال 46 دقيقة، لكن المراكز المفتوحة بالفعل لدى المقرضين الخارجيين لا يمكن إلغاؤها. تجمد Aave و SparkLend و Fluid و Ethena و Yearn و Pendle و Beefy و Lombard كلها التعرض لـ rsETH خلال ساعات. أصبح كل rsETH المُعبر عبر حوالي 20 L2 الآن معطلاً هيكلياً. من يدفع فعليًا الديون السيئة البالغة حوالي 177 مليون دولار: مُستثمرو Aave Umbrella WETH على Ethereum و Arbitrum. هذه هي أول عملية خصم حقيقية لـ Umbrella — تلقائية، بنسبة متناسبة، دون تصويت حوكمة. تحتوي الصناديق المجمعة على حوالي 260 مليون دولار كإجمالي قيمة مضمونة، مما يجعل نسبة الخصم بين 60 و70%. سيخسر المستثمرون الذين يجمعون نقاطًا إضافية قليلة فوق aWETH ثلثي مراكزهم تقريبًا بين عشية وضحاها. أما حاملو rsETH المُعبر، فسيتحملون خسارة من الدرجة الثانية بنسبة خصم تتراوح بين 15 و20% بينما تحافظ KelpDAO على rsETH على الشبكة الرئيسية سليمة. الدرس يتكرر. العقود عملت. كان EigenLayer بخير. كان بروتوكول LayerZero بخير. الخطأ كان في التكوين — الجزء من الطبقات الذي لا يراجعه المدققون. قبل أن تتعامل مع LRT المُعبر كمطابق بنسبة 1:1 لإصداره على الشبكة الرئيسية، تحقق من عدد DVNs الذي يؤمنه. هذه هي الفرق بين تجارة عائد وخسارة كاملة. تقرير رائع من @defiprime 🔗 https://t.co/f20MPysRPm