Експлуатація KelpDAO rsETH: Як атака на міст LayerZero на $292 млн призвела до боргу на $177 млн на Aave
2026/04/20 10:30:03
Вступ
Що відбувається, коли єдина точка відмови в крос-чейн мості перетворюється на проблему на $292 мільйони?
18 квітня 2026 року криптовалютна індустрія отримала відповідь у реальному часі. KelpDAO, протокол рідкісного рестейкінгу, був ограблений на 116 500 rsETH, що становить приблизно 292 мільйони доларів США, через вразливість у його мості, заснованому на LayerZero. Атака не просто вкрадала токени — вона створила близько 177 мільйонів доларів США поганого боргу, який зараз знаходиться на балансі Aave, залишивши депозиторів у паніці, а децентралізовану фінансову спільноту з питанням: чи має ера крос-чейн фінансів фундаментальну проблему довіри?
Що таке KelpDAO та rsETH? Розуміння ринку рідкісного рестейкінгу
KelpDAO — це протокол рідкісного стейкінгу, побудований на EigenLayer, який дозволяє користувачам стейкати їх ETH через протокол і отримувати rsETH (рестейканий ETH) як рідкісний токен, що представляє їхню позицію. Ця концепція — рідкісний стейкінг — дозволяє користувачам зберігати ліквідність, одночасно отримуючи нагороди за стейкінг, поєднуючи дохід від нативного стейкінгу з гнучкістю торгового токена.
Токен rsETH став популярним, оскільки його можна було використовувати як колатерал у протоколах DeFi. Користувачі стейкають ETH через KelpDAO, отримують rsETH, а потім використовують цей rsETH для позичання інших активів на кількох ланцюгах. Проблема? Ця функція міжланцюгової взаємодії залежала від технології мосту LayerZero, зокрема конфігурації DVN (Data Verification Network) 1-of-1, яка виявилася єдиною точкою збою.
Для новачків у DeFi ця концепція проста. KelpDAO обіцяв користувачам отримувати нагороди за стейкінг, поки їхній ETH залишався придатним для використання в інших протоколах. Виконання залежало від довіри до інфраструктури мостів — довіри, яка розвалилася 18 квітня, коли один скомпрометований валідатор дозволив атакуючому створити непідтримуваний rsETH. Атакуючий не взламав сам блокчейн — він маніпулював системою перевірки повідомлень, яка повідомляє одну ланцюжку про існування токена на іншій.
Експлуатація 18 квітня 2026 року: Як розгорталися події
Експлуатація розгорталася у фазах протягом приблизно 46 хвилин, згідно зі звітами про інцидент. Починаючи з 18:52 UTC 18 квітня 2026 року, нападник використав вразливість у конфігурації мосту LayerZero KelpDAO — зокрема, 1/1 DVN (верифікація з одним підписувачем), яка підтверджувала міжланцюгові повідомлення.
Ось що відбулося технічно:
| Фаза | Дія | Вплив |
| 1 | Зловмисник виявив вразливість 1 з 1 DVN | Виявлено єдину точку відмови |
| 2 | Випускає 116 500 непідтриманих rsETH | ~18% обігового пропозиції |
| 3 | Мост rsETH через 20+ ланцюгів | Активи застрягли по всьому світу |
| 4 | Депозит rsETH як забезпечення на Aave V3 | Позичено 126 000 WETH |
| 5 | Виконує вихід перед аварійною паузою | Задіяно $292 млн |
Зловмисник надав вкрадений rsETH як забезпечення на Aave V3 та позичив приблизно 126 000 WETH (вартістю приблизно $236 мільйонів на той момент). Це спричинило негайний борг — Aave тепер має rsETH, вартість якого значно нижча за WETH, який він видачав.
Дослідники з безпеки зауважили, що існував 46-хвилинний проміжок між початком підозрілої діяльності та призупиненням протоколу. Якби призупинення відбулося раніше, можна було б запобігти додатковим $200 мільйонам потенційно перенесених активів. Ця затримка виявилася дуже витратною.
Криза неповернених боргів Aave: $177 млн і це лише початок
Наслідки експлойту створили кризу, набагато більшу, ніж початкове викрадення. Aave’s WETH-пул зараз містить приблизно 177 мільйонів доларів США поганого боргу — нападник позичив 126 000 ETH, використовуючи вкрадений rsETH як забезпечення, і цей борг зараз фіксований у термінах ETH, тоді як забезпечення втратило свою вартість.
Математика очевидна. Коли атакуючий використав rsETH як забезпечення, він знав, що воно не має підтримки. Aave вважала його дійсним забезпеченням вартістю приблизно $2 500 за rsETH. Атакуючий вивів реальний WETH. Aave залишилася з rsETH, який тепер практично не має цінності як забезпечення.
Управління Aave швидко відреагувало:
-
Призупинено всі нові депозити rsETH у ринках V3
-
Активовано надзвичайні повноваження Aave Guardian
-
Розпочато дискусії щодо управління відновленням просроченої заборгованості
-
TVL Aave знизився з $26,4 млрд до $20,7 млрд — зменшення на 25% загальної заблокованої вартості
Для вкладників WETH на Aave ситуація є небезпечною. Поганий борг означає, що кошти вкладників під загрозою, якщо відновлення не відбудеться. Аave-головування досліджує варіанти відновлення за допомогою протоколу Umbrella та скарбниці Aave, але на момент написання цього тексту чіткого рішення не з’явилось.
Зловмисник позичив понад 82 600 ETH (приблизно $195 мільйонів) через Aave, використовуючи вкрадені rsETH, створивши непогашений борг, який продовжує зростати, оскільки зростання ціни ETH робить складнішим покриття боргу за рахунок резервів казначейства.
Вразливості міжланцюгових мостів: системна проблема
Експлуатація KelpDAO — це не ізольований випадок — це найбільший хак у сфері DeFi у 2026 році на даний момент, що відповідає шаблону вразливостей мостів, які тривалий час стурбовували галузь. Від моста Ronin ($625 млн) у 2022 році до Multichain у 2023 році, мости між мережами постійно виявлялися найслабшим ланцюжком у інфраструктурі DeFi.
Фундаментальна проблема полягає в архітектурі. Мості між ланцюгами вимагають довіри до систем перевірки повідомлень. Коли міст повідомляє ланцюг B, що токен існує на ланцюзі A, це повідомлення є настільки ж надійним, наскільки надійним є механізм перевірки. Атака KelpDAO використала конфігурацію DVN 1 з 1 — єдину точку відмови, яка ніколи не повинна була бути розгорнута для протоколу, що керує сотнями мільйонів користувацьких коштів.
Відгук індустрії був різноманітним, але модель очевидна:
| Рік | Інцидент | Втрата | Причина |
| 2022 | Ronin Bridge | $625M | Компрометація приватного ключа |
| 2023 | Multichain | $130M | Помилка багатопідписового підпису |
| 2024 | Різні мости | $400M+ | Кілька |
| 2026 | KelpDAO | $292M | 1 з 1 DVN невдача |
Справа KelpDAO особливо тривожна, оскільки вразливість була відома в архітектурі LayerZero, але не була усунена на рівні протоколу доти, поки не відбулася шкода.
Втручання та зусилля з відновлення Джастіна Суна
У незвичайному кроці засновник TRON Джастін Сун публічно запропонував провести переговори з хакером KelpDAO. Сун опублікував у X (раніше Twitter): «Хакер KelpDAO, скільки ти хочеш? Давайте просто поговоримо. Просто не варто жертвувати і Aave, і KelpDAO, і дозволяти їм зруйнуватися через цей хак».
Зловмисник позичив приблизно 126 000 ETH, створивши борг, фіксований у термінах ETH. Зі зростанням ціни ETH збільшується боргове навантаження на скарбницю Aave та протокол Umbrella. Втручання Сана відображало занепокоєння ширшої екосистеми — це було не просто про KelpDAO чи Aave, а про запобігання системній кризі, яка могла б вплинути на ринки позичання в усьому DeFi.
Вкрадений rsETH було позначено та заморожено на кількох мережах. Зловмисник контролює значну кількість ETH, але не може легко вийти з позицій, не викликавши заморожування та розслідування. Це створює ситуацію затримки — зловмисник має вартість на папері, але не може її реалізувати без співпраці.
Чи варто інвестувати в AAVE на KuCoin після інциденту з rsETH?
Це питання на усіх інвесторів DeFi після інциденту з KelpDAO. Aave — це найбільший протокол позичання в DeFi, і цей експлойт виявив уразливості, які багато хто вважав виправленими. Ось щире оцінення.
Причини для обережності
-
Невизначеність щодо просроченої заборгованості: $177 млн просроченої заборгованості знаходяться на пулі WETH Aave, а терміни відновлення невідомі
-
Зниження TVL: 25% зниження TVL свідчить про зменшення довіри
-
Ризик міжланцюговості: Aave використовує сторонні містки для міжланцюгових активів — будь-яка вразливість моста створює експозицію
-
Невизначеність управління: пропозиції щодо відновлення все ще обговорюються, без гарантій результату
-
Настрій ринку: ціна AAVE знизилася приблизно на 10%, оскільки ринок врахував можливі втрати
Причини звернути увагу на AAVE
-
Позиція лідера ринку: Незважаючи на витік, Aave залишається домінуючим протоколом позичання
-
Потенціал відновлення: скарбниця Aave та протокол Umbrella мають ресурси, щоб частково покрити збитки при належній реалізації
-
Необхідність DeFi: Протоколи позичання є фундаментальними — попит існує незалежно від проблем окремих протоколів
-
Історична стійкість: Aave вижив попередні витіки та ринкові кризи
-
Відповідь через управління: Швидке призупинення та активація управління демонструють здатність реагувати на кризу
Резюме оцінки ризиків
Експлуатація KelpDAO позначає початок нової ери ризиків у DeFi — міжланцюгові вразливості, які впливають не лише на користувачів мостів, а й на всіх, хто надає колатерал експонованим протоколам. Для Aave прямий вплив становить приблизно $177 млн поганого боргу на тлі $20,7 млрд залишкового TVL, що становить приблизно 0,85% загальної суми депозитів під ризиком.
Головне питання: Чи ви готові переносити такий рівень ризику протоколу? Якщо ви робите депозит у Aave, розумійте, що ви піддані вибору забезпечення іншими позичальниками. Зловмисник використав систему забезпечення Aave, а не безпосередню вразливість депозиту, але наслідок для депозиторів схожий — їхні кошти зараз під ризиком під час переговорів щодо відновлення.
Як торгувати AAVE на KuCoin
Для тих, хто вирішив торгувати AAVE на KuCoin після експлойту, ось практичне керівництво.
Крок 1: Зрозумійте ризик
AAVE переживає значну волатильність після експлойту. Ціна може змінитися на 10–20% у будь-якому напрямку залежно від новин про відновлення. Торгуйте лише тими коштами, які можете собі дозволити втратити, або тримайте їх під час довготривалої волатильності.
Крок 2: Виконайте свою угоду
На KuCoin знайдіть «AAVE/USDT» у інтерфейсі торгівлі. Обсяги торгівлі високі під час цього періоду, що забезпечує ринки з високою ліквідністю для ринкових та лімітних ордерів.
Крок 3: Розгляньте розмір позиції
Враховуючи поточну невизначеність, розгляньте менші розміри позицій, ніж зазвичай. Падіння на 10% вже відбулося, але час відновлення залишається невизначеним. Долларово-вартісне усереднення позицій протягом часу зменшує ризик вибору моменту.
Висновок
Експлуатація KelpDAO rsETH стала найбільшим інцидентом у DeFi 2026 року — не лише через крадіжку на $292 млн, а й через те, що вона розкриває проблеми у міжланцюговій інфраструктурі. Один валідатор дозволив атакуючому створювати непідтримувані токени на 20+ ланцюгах, а потім використовувати їх як забезпечення на Aave.
$177 млн поганого боргу, що зараз знаходиться на Aave, підкреслює системний ризик ланцюгів DeFi. Композиція протоколів корисна для користувачів, але також створює сценарії невдач, що перетинають межі протоколів. Мості між ланцюгами залишаються найслабкішим ланцюгом галузі, доки архітектурні реформи не вирішать конфігурації з однією точкою відмови.
Для учасників DeFi урок полягає не у відмові від цього простору — а у точнішому розумінні ризиків. Зловмисник тримає $292 млн у позначених активах, які не може легко ліквідувати. Для Aave зокрема, відновлення передбачає механізми, фінансовані через управління, без гарантій термінів. Протокол вже переживав попередні виклики, але цей інцидент виявив обмеження, що вимагають постійної структурної відповіді.
ЧАСТІ ПИТАННЯ
Чи безпечні мої ETH на Aave після витоку KelpDAO?
A: На пулу WETH Aave існує борг на суму $177 млн, але це менше 1% від загальної TVL ($20,7 млрд). Герівнанс активно обговорює варіанти відновлення. Слідкуйте за оголошеннями герівнансу Aave щодо термінів і механізмів відновлення.
Що сталося з вкраденим rsETH?
A: $292M у rsETH залишаються позначені через ланцюги. Зловмисник не може легко ліквідувати ці активи, не викликавши заморожування. Джастін Сан публічно запропонував провести переговори зі зловмисником щодо повернення коштів.
Хто відповідає за експлойт KelpDAO?
A: Технічний аналіз вказує на використання конфігурації 1 із 1 DVN LayerZero. Це дозволило нападнику підробляти міжланцюгові повідомлення та створювати непідтримувані rsETH. Вразливість була в налаштуванні моста KelpDAO, а не в основному протоколі LayerZero.
Чи зможе Aave відновити борг у розмірі 177 млн $?
A: Аave governance досліджує відновлення за допомогою протоколу Umbrella та резервів скарбниці. Поки що немає підтверджених термінів. Зловмисник позичив 126 000 ETH під незабезпечене забезпечення — відновлення вимагає або співпраці хакера, або фінансування зі скарбниці governance.
Чи слід уникати DeFi після цієї експлуатації?
A: Експлойт KelpDAO виявляє ризики міжланцюгових операцій, але не означає, що всі DeFi-протоколи небезпечні. Розумійте свій ризик, пов’язаний з міжланцюговими активами, та перевірте конфігурації мостів протоколів, якими ви користуєтесь. Диверсифікація між протоколами та обережне визначення розміру позиції залишаються розумними стратегіями.
Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ (на базі GPT). Для отримання найточнішої інформації дивіться оригінальну англійську версію.