Эксплуатация KelpDAO: $292 млн создано через мост LayerZero с одиночным верификатором, $177 млн просроченной задолженности теперь ложатся на Aave Umbrella Самая крупная извлечённая сумма из DeFi в 2026 году не возникла из-за уязвимости в контракте. Она появилась из одной строки конфигурации. В 17:35 UTC 18 апреля злоумышленник отправил поддельный вызов lzReceive через адаптер LayerZero OFT KelpDAO и создал 116 500 непокрытых rsETH — примерно 18% от предложения, ~$293,5 млн. Одна транзакция, один подписанный запрос. Причина: адаптер rsETH работал с requiredDVNCount: 1, где единственным верификатором был @LayerZero_Labs. Протокол с TVL более $1 млрд обеспечил свой мост единственной точкой отказа. Вывод средств прошёл по шаблону. Вместо сброса на ликвидность DEX злоумышленник использовал непокрытые токены в качестве залога: • Aave Ethereum: заимствовал 52 834 WETH • Aave Arbitrum: 29 782 WETH + 821 wstETH • Меньшие позиции на Compound V3 и Euler до их заморозки Общая сумма заимствований: $200–236 млн, первые шаги были направлены через Tornado Cash в течение 20 минут. KelpDAO приостановил контракты за 46 минут, но открытые позиции на сторонних кредиторах нельзя отменить. Aave, SparkLend, Fluid, Ethena, Yearn, Pendle, Beefy и Lombard все заморозили экспозицию rsETH в течение нескольких часов. Каждый мостовой rsETH на ~20 L2 теперь структурно повреждён. Кто реально оплатит ~$177 млн просроченной задолженности: стейкеры Aave Umbrella WETH на Ethereum и Arbitrum. Это первое реальное событие штрафования Umbrella — автоматическое, пропорциональное, без голосования говернанса. Общие вaults содержат ~$260 млн TVL, что даёт коэффициент штрафа 60–70%. Стейкеры, получающие несколько дополнительных очков на фоне aWETH, вот-вот потеряют две трети своей позиции за одну ночь. Держатели мостового rsETH получат ущерб второго уровня с обесценением 15–20%, поскольку KelpDAO сохраняет rsETH на мейннете целым. Урок повторяется. Контракты работали. EigenLayer был в порядке. Протокол LayerZero был в порядке. Ошибка была в конфигурации — части стека, которую аудиторы не проверяют. Прежде чем рассматривать мостовой LRT как 1:1 с его мейннет-версией, проверьте, сколько DVN его защищают. Именно это различие между выгодной сделкой и полной потерей.​​​​​​​​​​​​​​​​ Отличный отчёт от @defiprime 🔗 https://t.co/f20MPysRPm