Що таке KelpDAO? Як його хак на $292 млн потряс криптовалютний ринок у 2026 році

2026/04/28 06:33:02

Що, як одна підроблена транзакція могла б вивести майже 300 мільйонів доларів із DeFi-протоколу за менше ніж годину — і спричинила б ланцюгову кризу на 9 інших платформах?

Те саме відбулося 18 квітня 2026 року. Зловмисник використав міст, заснований на LayerZero, Kelp DAO, щоб вивести 116 500 rsETH — близько $292 мільйонів, що становить приблизно 18% обігового пропозиції токена — що спричинило аварійне призупинення основних контрактів. Ця подія миттєво стала найбільшим експлойтом DeFi 2026 року, підірвавши довіру інвесторів від ethereum мейннету до більш ніж 20 Layer-2 мереж.

Щоб зрозуміти, чому це так важливо, спочатку потрібно зрозуміти, що таке KelpDAO, як він створив одну з найбільш інтегрованих екосистем у DeFi, і чому одна слабка ланка в його міжланцюговій інфраструктурі була достатньою, щоб виявити структурні вразливості всього сектору.

Основні висновки

KelpDAO — це протокол рідкісного рестейкінгу, побудований на EigenLayer, який дозволяє користувачам отримувати нагороди за стейкінг, зберігаючи свої активи ліквідними за допомогою токена rsETH.
18 квітня 2026 року нападники використали вразливість моста, щоб випустити 116 500 непідтримуваних токенів rsETH на суму приблизно $292 мільйони — найбільший хак у сфері DeFi у 2026 році.
Хак був пов’язаний зі схемою Lazarus Group з Північної Кореї, яка використовувала вкрадені токени як фальшивий колатерал на Aave, щоб вивести справжній ETH.
Принаймні 9 DeFi-протоколів були вплинуті, TVL Aave впав на $10 мільярдів, а квітень 2026 року став найгіршим місяцем для хаків у криптовалюті за останній рік.
Було запущено ініціативу з відновлення під назвою «DeFi United», при цьому Lido Finance, EtherFi та засновник Aave Стані Кулечов координують зусилля щодо покриття дефіциту.

Що таке KelpDAO?

KelpDAO — це протокол рідкісного рестейкінгу, побудований на Ethereum, який дозволяє користувачам максимізувати свою нагороду за стейкінг, не жертвуючи ліквідністю активів. Замість блокування ETH у традиційному стейкінгу, Kelp DAO дозволяє користувачам рестейкіти свої рідкісні стейкінг-токени (LST) від провайдерів, таких як Lido та Rocket Pool, щоб отримувати додаткові нагороди через EigenLayer.

Простими словами, KelpDAO працює як «DeFi-підсилювач». Ви робите депозит стейкненого ETH (наприклад, stETH або cbETH), протокол делегує його операторам EigenLayer, а замість цього ви отримуєте rsETH — рідкісний токен з дохідністю.

Що таке rsETH?

rsETH — це токен, що представляє вимогу на позицію з повторним стейкінгом та нараховану дохідність. До квітня 2026 року обсяг TVL rsETH перевищив $1 мільярд, і його було інтегровано як забезпечення в більшості основних ринків позичання та джерел дохідності в DeFi.

Оскільки rsETH є ліквідним, користувачі можуть торгувати ним, позичати під нього або використовувати його у стратегіях отримання доходу — усі ці дії відбуваються одночасно з отриманням нагород EigenLayer у тлі. Цей механізм «подвійного отримання» зробив KelpDAO одним із найпопулярніших протоколів ліквідного рестейкінгу в екосистемі.

Ключові функції KelpDAO

KelpDAO випускає rsETH і управляє Gain Vaults — автоматизованими оптимізаторами дохідності та балів за ейрдропи для мереж Layer-2. Користувачі можуть робити депозит ETH, stETH, ETHx та rsETH у Gain Vaults, щоб отримувати додаткову дохідність без додаткових зусиль.

Протокол працює більш ніж у 10 мережах і накопичив понад $2 мільярди загальної вартості заблокованих коштів (TVL) до експлойту. З інтеграціями в Aave, Arbitrum, Base, Linea та Mantle, rsETH став глибоко вбудованим у DeFi-стек.

Хак KelpDAO в квітні 2026: що відбулося?

Вектор атаки: Недолік моста 1 з 1

Атака розгорталися етапами: нападники скомпрометували RPC-ноди, які використовувалися системою верифікації LayerZero, розгорнули шкідливі бінарні файли для маніпулювання даними транзакцій, виконали координовану DDoS-атаку, яка змусила перейти на скомпрометовану інфраструктуру, і нарешті спричинили те, що система прийняла підроблені міжланцюгові повідомлення — що призвело до випуску 116 500 rsETH без будь-якого забезпечення.

Критичною точкою відмови була конфігурація верифікації KelpDAO. Он-чейн-форензика описала вектор атаки як хірургічний: забруднення внутрішніх RPC під час проведення DDoS-атаки на зовнішні, експлуатуючи конфігурацію верифікації 1 з 1 DVN (Decentralized Verifier Network). Один верифікатор. Одна точка відмови.

Це означало, що достатньо було лише однієї скомпрометованої ноди, щоб схвалити шахрайську міжланцюгову транзакцію на сотні мільйонів доларів.

Хронологія

18 квітня 2026 року о 17:35 UTC атакуючий використав міст. Екстрений паузер мультипідпису призупинив основні контракти Kelp DAO через 46 хвилин, о 18:21 UTC. Дві наступні спроби виведення коштів були здійснені о 18:26 та 18:28 UTC, кожна з яких намагалася вивести додаткові 40 000 rsETH — обидві були відхилені.

Швидкість атаки була ошелешуючою. За менше ніж годину атакуючий випустив фейкові токени, використав їх як забезпечення на Aave та вивів справжні ETH з найбільшого протоколу DeFi-позичання.

Від експлуатації мосту до кризи Aave

Хак не зупинився на KelpDAO. Зловмисник внес майже 90 000 rsETH як забезпечення на Aave, позичивши близько 190 мільйонів доларів США у ETH та інших активах на Ethereum та Arbitrum. Це призвело до погіршення забезпечення на Aave, що спричинило паніку серед кредиторів, які поспішали вивести доступні кошти.

Загальна вартість активів на Aave впала на $10 мільярдів після інциденту, а загальний дефіцит неповернених боргів оцінюється в понад 112 000 rsETH, згідно з звітом Aave про інцидент.

Під час азійських торгів у неділю, коли поширилася паніка, ціна нативного токену Aave впала на 20%.

Ефект доміно: Як хак вплинув на ширшу екосистему DeFi

9 протоколів постраждали, виведено $13 мільярдів

Aave V3 заморозила ринки rsETH, SparkLend заморозила експозицію, тоді як Fluid, Compound, Euler та інші перейшли до обмеження ризиків. Принаймні 9 протоколів були вплинуті. Депозити в DeFi впали на 13 мільярдів доларів за 48 годин, оскільки користувачі поспішали вивести свої кошти, перш ніж це зробить хтось інший. На кожен долар, вкрадений хакерами в квітні, користувачі DeFi вивели приблизно 20 доларів більше з системи. Цей ефект посилення — коли одна експлуатація викликає набагато більший витік капіталу — саме те, що робить хаки мостів настільки знищувальними. Вони не просто крадуть вартість; вони знищують довіру.

rsETH застряг на 20+ ланцюгах

Оскільки міст тримав резерви, що забезпечували rsETH на більш ніж 20 мережах, втрата викликала сумніви щодо забезпечення rsETH на Layer 2 та спричинила хвилю зупинок ринку протоколами, включаючи Aave, SparkLend і Fluid. Власники rsETH на Arbitrum, Base, Mantle, Linea та інших мостових ланцюгах залишилися з токенами, які більше не можна було впевнено обміняти на 1:1 клеймо з ескрового рахунку Ethereum. Виведення коштів було призупинено, а ліквідність виведена з пулу DEX.

KernelDAO потрапив у центр уваги

KelpDAO діє в межах ширшої екосистеми KernelDAO. Токен KERNEL впав на 19,9% протягом семи днів після атаки. Ринкова капіталізація KernelDAO впала до приблизно $20 мільйонів — що робить ринкову капіталізацію протоколу в 48 разів меншою, ніж його TVL.

Хто стоїть за хаком KelpDAO?

KelpDAO було виведено приблизно на $290 мільйонів 18 квітня, після того як нападники, ймовірно, група Lazarus з Північної Кореї, скомпрометували RPC-ноди та використали систему з одним перевіряючим для мінту 116 500 непідтверджених токенів rsETH. LayerZero, інфраструктура якого була використана, заявила, що її основний протокол не винен.

Lazarus Group викрадає криптовалюту вже десять років. Лише в 2025 році вони отримали близько 59% усіх доларів, вкрадених у цілій галузі. В квітні 2026 року вони викрали $285 мільйонів з Drift Protocol і $292 мільйони з KelpDAO, і обидва напади були організовані протягом місяців соціальної інженерії.

Це критичний зсув у ландшафті загроз. Як зазначив засновник Immunefi Мітчелл Амадор, зі складнішою експлуатацією коду, основною метою хакерів у 2026 році є люди. Сама інфраструктура моста не обов’язково була порушена — були обмануті люди, які керували вузлами верифікації.

Квітень 2026: Найгірший місяць для хакерських атак у криптовалюті за останній рік

Взлом KelpDAO не відбувся ізольовано. Квітень 2026 року став найгіршим місяцем для хакерських атак у криптовалюті за останній рік — загалом викрадено $606 мільйонів у 12 випадках. Це вже втричі більше, ніж усі хакерські інциденти за Q1 разом, а місяць ще не закінчився.

Інші інциденти в квітні включали хакерську атаку на домен CoW Swap, агрегатора DEX, на суму 1,2 мільйона доларів США, маніпуляцію оракулом на мережі NEAR на суму 18,4 мільйона доларів США та атаку з використанням флеш-позики на Binance Smart Chain на суму 1,6 мільйона доларів США. Загальна сума заблокованих коштів у DeFi з того часу знизилася з 166 мільярдів до 89 мільярдів доларів США — дуже значне падіння, що відображає масштаб кризи довіри, яка охопила сектор.

Зусилля з відновлення: "DeFi United"

Aave та кілька великих криптовалютних компаній координують зусилля з відновлення, яке отримало назву "DeFi United", щоб стабілізувати ринки DeFi після того, як експлойт залишив найбільшого позичальника сектору з великою нестачею. Lido Finance, EtherFi та засновник Aave Стані Кулєчов — серед тих, хто запропонував внести ETH для покриття цієї прогалини.

21 квітня Рада безпеки мережі Arbitrum заморозила 30 766 ETH ($71 мільйонів) коштів нападника, відновивши приблизно 25% вкрадених активів. Відновлення буде повільним. Чи зможе rsETH повністю відновити свій підтримку, і чи зможе KelpDAO відновити довіру користувачів, виконуючи виплати, залишається відкритим питанням на початок другого кварталу 2026 року.

Чому хаки містів продовжують відбуватися?

Хаки крипто-мостів, як-от викрадення $292 млн з Kelp DAO, продовжуються, бо мости залежать від довірених посередників і зовнішніх джерел даних, а не повністю перевіряють активність блокчейну, що створює прості можливості для атакуючих маніпулювати. Проблема структурна, а не лише в помилках чи багах.

Хаки містів рідко залишаються обмеженими. Містені активи використовуються в протоколах позичання, ліквідних пулах та стратегіях отримання прибутку. Якщо ці активи скомпрометовані, шкода поширюється. Як пояснив співзасновник 1inch Сергій Кунц: «Інші платформи можуть сприймати скомпрометований актив як легітимний. Ось як відбувається зараження».

Мостові з’єднання між блокчейнами з 2021 року були найбільш експлуатованою частиною інфраструктури в криптовалюті, з яких було виведено понад 2,8 мільярда доларів США — приблизно 40% кожного долара, вкраденого в Web3. Інцидент із KelpDAO — це не виняток, а продовження структурної проблеми, яка існує вже роками, і галузь ще не запропонувала всебічного рішення.

Що означає цей хак для майбутнього DeFi

Довіра до DeFi «зменшилася», і віце-президент з безпеки Ledger Чарльз Гільєме попередив, що 2026 рік «найімовірніше стане найгіршим роком щодо хакерських атак, знову». Однак не всі експерти пессимістичні. Михайло Єгоров із Curve Finance визнав позитивний аспект: «Криптовалюта — це жорстке середовище, яке жодний банк не вижив би — а ми працюємо саме з цим. Я вважаю, що DeFi вивчить уроки цього інциденту і стане сильнішим, ніж раніше».

Сага KelpDAO прискорює дискусії щодо багатопідписових дизайнів мостів, обов’язкових аудитів безпеки для крос-чейн конфігурацій та більш строгих стандартів прийняття коллатералу для кредитних протоколів. Чи призведуть ці дискусії до реальних змін учаски, щоб запобігти наступному великої експлуатації — це визначальне питання для DeFi у 2026 році.

Як торгувати DeFi та токенами екосистеми ethereum на KuCoin

Хак KelpDAO відновив інтерес до розуміння того, як оцінюються та торгуються протоколи рідкісного рестейкінгу, деривативи ethereum та токени управління DeFi. Якщо ви хочете відповідно позиціонувати себе щодо цих швидкозмінних ринкових подій — чи торгуючи AAVE, спостерігаючи за волатильністю ETH, чи досліджуючи токени, пов’язані з рестейкінгом — KuCoin пропонує глибоку ліквідність для токенів, що є центром цієї історії.

KuCoin дозволяє торгувати AAVE, ETH та широким спектром DeFi-токенів на спот- та ф'ючерсних ринках з конкурентними комісіями. Платформа також надає дані про ринок у реальному часі та сповіщення про новини — особливо корисно під час кризових подій, як-от хак KelpDAO, коли ціни токенів можуть коливатися на 20% за кілька годин. Нові користувачі можуть зареєструватися на KuCoin та отримати доступ до повного набору інструментів для торгівлі в умовах волатильності ринку, поки сектор DeFi продовжує розвиватися.

Додаткова інформація:

Висновок

KelpDAO створила одну з найамбіційніших екосистем рідкісного рестейкінгу в DeFi, надавши користувачам можливість отримувати шарові винагороди від ethereum, зберігаючи ліквідність токенів за допомогою rsETH. Але атака на міст у квітні 2026 року виявила критичну правду: у взаємопов’язаному середовищі DeFi одна неправильно налаштована нода верифікатора може стати вразливістю на $292 мільйони.

Хак — найбільший у 2026 році, який приписують групі Lazarus з Північної Кореї — миттєво поширилася на 9 протоколів, спричинила хвильу зняття на $10 млрд з Aave і зробила квітень 2026 року найгіршим місяцем для хаків у криптовалюті за останній рік. Проводиться координований відновлювальний процес через «DeFi United», при цьому Arbitrum заморозив приблизно $71 млн коштів хакерів, але шлях до повного відшкодування залишається невизначеним.

Щодо ширшого криптовалютного ринку, інцидент з KelpDAO є як попередженням, так і стимулом до змін. Інфраструктура мостів повинна бути перероблена з використанням кількох незалежних шарів верифікації, протоколи позичання потребують більш консервативних стандартів забезпечення, а галузь повинна сприймати державно-підтримувані хакерські групи, як Lazarus, як постійного противника. Екосистема DeFi, що виникне з цього кризису — якщо вона взагалі виникне — ймовірно, буде більш стійкою, але шлях до цього буде болісним.

ЧАСТІ ПИТАННЯ

Чи продовжує KelpDAO працювати після хакерської атаки?

KelpDAO призупинив свої основні контракти на мейннеті та кількох Layer-2 негайно після виявлення експлойту. Команда підтвердила, що працює з LayerZero, Unichain, своїми аудиторами та експертами з безпеки над відновленням. Відновлення повної роботи залежить від результатів ініціативи «DeFi United» та здатності rsETH відновити свій 1:1 підтримку.

Чи було LayerZero взломано під час експлуатації KelpDAO?

LayerZero заявила, що її основний протокол не був винен. Уразливість виникла через специфічну конфігурацію KelpDAO протоколу LayerZero — зокрема, використання налаштування з одним перевіряючим (1-of-1 DVN), що створило єдину точку відмови, якою скористалися нападники.

Що сталося зі значенням rsETH після хаку?

Після хакування ціна та підтримка rsETH піддалися серйозному тиску. Виведення коштів було призупинено більш ніж на 20 мережах, а ліквідність покинула пули DEX. Мейннет rsETH залишається забезпечений легітимними депозитами користувачів у EigenLayer, але rsETH, що було перенесений на мережах Layer-2, втратив надійну claim на обмін 1:1, залишивши власників у складній ситуації.

Як користувачі DeFi можуть захистити себе від подібних хаків у майбутньому?

Користувачі повинні диверсифікувати експозицію між протоколами, уникати концентрації ліквідності токенів restaking як колатералу на платформах позичання та уважно стежити за розголошеннями безпеки мостів. Пріоритетом мають бути протоколи з багатооператорними дизайнами мостів, активними програмами bug bounty та прозорими аудитами безпеки — це значно зменшує — хоча й не виключає повністю — експозицію на експлойти, пов’язані з мостами.

Відмова від відповідальності: Ця стаття має лише інформаційний характер і не є фінансовою чи інвестиційною порадою. Інвестиції в криптовалюту супроводжуються значними ризиками. Завжди проводьте власне дослідження перед торгівлею.

Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ (на базі GPT). Для отримання найточнішої інформації дивіться оригінальну англійську версію.