Взлом KelpDAO: почему он опаснее обычного DeFi-хака - rsETH, Aave и кризис доверия

То, что произошло дальше, - отдельный сюжет. Украденный rsETH не пошел на DEX. Его за минуты разложили по восьми заранее подготовленным кошелькам, депонировали в Aave V3 как залог, и взяли под него реальный WETH - пока кто-то из протоколов успел понять, что происходит. Через 46 минут KelpDAO нажал паузу. К этому моменту деньги уже ушли через переднюю дверь Aave.

За 48 часов после взлома из DeFi испарилось $13.21 миллиарда TVL. Из них $8.45 миллиарда - только из Aave, который даже не был взломан. 11 протоколов заморозили рынки rsETH. Ещe два десятка остановили мосты на LayerZero - на всякий случай, потому что больше никто не понимал, какая инфраструктура безопасна, а какая нет. Совет безопасности Arbitrum использовал чрезвычайные полномочия, чтобы силой изъять 30 766 ETH с адреса атакующего. И этот шаг - отдельная история, которая еще долго будет обсуждаться в DeFi.

Главный урок этой атаки про composability. Формально это был эксплойт моста, связанный с поддельным кросс-чейн сообщением. Но по последствиям это была полноценная хакерская атака на DeFi: украденный rsETH превратился в токсичный залог, Aave получил риск bad debt, а десятки протоколов были вынуждены остановить операции из-за потери доверия к cross-chain инфраструктуре.

Composability - это то, что делает DeFi мощным. Один токен может одновременно работать как залог в одном протоколе, как ликвидность в другом, как часть стратегии доходности в третьем. KelpDAO показал обратную сторону: та же composability работает как спусковой крючок для чужих сбоев. Если ты интегрируешь чужой токен как залог, ты импортируешь всю его цепочку поставок - включая мост, который ты никогда не использовал, RPC-узлы, которые ты никогда не видел, и DVN-конфигурацию, которую ты, возможно, даже не проверял.

В этой статье разберем четыре вопроса:

• Что произошло 18 апреля и почему атакующий не пытался продать украденный rsETH
• Почему это не обычный smart contract hack и какой слой безопасности DeFi-индустрия систематически игнорирует
• Как один взлом моста превратился в кризис всего DeFi через цепочку залог -> bad debt -> банковская паника
• Какие выводы должны сделать команды, работающие с LRT и cross-chain интеграциями - в формате практического чеклиста

Чтобы понять, как взлом моста превратился в кризис всего DeFi, нужно коротко разобраться с двумя вещами: что такое rsETH и почему этот токен оказался залогом в большинстве крупных lending-протоколов.

LST (Liquid Staking Token) - это расписка на застейканный ETH. Кладешь ETH в Lido - получаешь stETH, кладешь в Rocket Pool - получаешь rETH. Главная фишка таких токенов - эффективность капитала: твой ETH одновременно зарабатывает доход от стейкинга и продолжает работать в DeFi как ликвидный актив.

LRT (Liquid Restaking Token) - следующий уровень. Это расписка на ETH, который повторно застейкан через EigenLayer для обеспечения безопасности других протоколов. KelpDAO принимает stETH, cbETH или ETH, делегирует через EigenLayer операторам - и выдает rsETH с двойным доходом: базовая награда за стейкинг Ethereum плюс награда от рестейкинга.

Проще говоря, rsETH - это инструмент из категории ликвидный рестейкинг: пользователь сохраняет ликвидность застейканного ETH, но одновременно получает доступ к дополнительной доходности через EigenLayer. Именно эта конструкция сделала rsETH удобным DeFi-залогом, но она же добавила новый слой риска: безопасность токена зависит не только от смарт-контрактов KelpDAO, но и от рестейкинг-инфраструктуры, мостов, оракулов и off-chain компонентов.

К апрелю 2026 года rsETH с TVL более $1 миллиарда был развернут на более чем 20 сетях через стандарт OFT от LayerZero и принимался как залог в Aave, Compound, Euler, Morpho, SparkLend, Fluid и в ряде других протоколов.

Чтобы это работало на 20 сетях одновременно, KelpDAO использовал классическую bridge-архитектуру: единый пул хранения на Ethereum mainnet, который держит rsETH в escrow, и копии токена, которые минтятся и сжигаются на L2 при кросс-чейн переводах. На момент атаки в этом пуле лежало 116 723 rsETH. После атаки - 223.

Атака уже подробно описана во многих источниках, здесь мы приведем краткую выжимку, потому что это важно для понимания всего контекста.

Все началось со смарт-контракта адаптера KelpDAO на цепочке Ethereum, который получил валидное кросс-чейн сообщение о передаче 116 500 rsETH в из Unichain в Ethereum.

По крайней мере так все выглядело "снаружи", на самом же деле передачи rsETH не было, более того, в Unichain на момент взлома totalSupply токена был 49.26 rsETH (и это отдельная тема для разговора о проверках безопасности).

Дальше начинается самое интересное - атакующий не идет продавать rsETH.

Это деталь, которая отличает KelpDAO от сотен других DeFi-взломов. Если бы атакующий вывалил 116 500 rsETH на Uniswap, он обвалил бы цену токена в первом же блоке. На 18% supply ликвидности DEX просто нет. Большая часть выручки осталась бы в пулах. Атакующий это понимал.

Вместо этого украденный rsETH мгновенно распределяется по восьми заранее подготовленным кошелькам - каждый из них в течение следующих минут депонирует rsETH в Aave V3 как залог и берет под него реальный WETH. Это выгоднее продажи на DEX, потому что Aave обязан выдать заем по правилам протокола: залог формально валиден, oracle цены работает, health factor в норме. Контракт делает то, что должен.

Но это был только первый "пакет". Через 46 минут после взлома KelpDAO ставит контракты на паузу. Поздно для первого пакета - деньги уже в Aave, заем уже взят. Но пауза успевает остановить второй пакет на 40 000 rsETH (~$100M) и третий - оба зарегистрированы в DVN, оба валидны с точки зрения LayerZero, оба уперлись в pause-чек.

Если бы пауза была активирована позже, потери могли составить не $290M, а почти $400M.

При этом первые реакции были не в официальных каналах протоколов, а от участников экосистемы. Marc Zeller, бывший сотрудник Aave, написал предупреждение в Twitter раньше, чем KelpDAO опубликовал хоть какое-то заявление: «Если у вас WETH в Aave V3 Core - выводите сейчас, вопросы потом».

Минута-в-минуту хронологию атаки и движения средств отлично разобрали rekt.news - если хочется погрузиться в детали с пруфами и ссылками, рекомендуем.

Но для нашей истории важна не хронология сама по себе, а вопрос, на который она выводит: как валидная подпись могла подтвердить событие, которого никогда не было?

Для начала стоит верхнеуровнево разобрать, как устроена кросс-чейн коммуникация. В большинстве случаев задача простая - есть два блокчейна, скажем Unichain и Ethereum, у каждого из них свое, изолированное от других блокчейнов состояние и они не могут читать состояния друг друга.

Так как же на Ethereum узнать, что в Unichain произошло какое-то событие? Нужна третья сторона, наблюдатель, - таким наблюдателем, как правило, выступает некоторый оффчейн-компонент системы. В нашем случае это была инфраструктура LayerZero и ее главный компонент, отвечающий за безопасность - DVN (Decentralized Verifier Networks).

Как DVN узнает, что в Unichain что-то произошло? Для этого он использует RPC (Remote Procedure Call). На RPC стоит остановиться немного подробнее, потому что именно RPC стал самым слабым местом, через которое началась атака на KelpDAO.

RPC-нода - это канал связи блокчейна с внешним миром. Как правило, у одного блокчейна несколько RPC-провайдеров: они предоставляют данные из блокчейна с разной скоростью, могут предлагать дополнительные способы получения данных (помимо стандартных) и т.д. Существуют платные и бесплатные RPC, также всегда есть какой-то официальный RPC, который поддерживает сама сеть. Кто угодно может запустить свою ноду, если так будет безопаснее, чем полагаться на внешних поставщиков.

Получается следующая цепочка (упрощенно):

1. В Unichain происходит какое-то событие, оно становится триггером для отправки сообщения в Ethereum.
2. DVN получает информацию об этом событии от нескольких RPC (для надежности).
3. Предположительно, DVN использует кворум при опросе нескольких RPC, и если большинство возвращают одинаковые данные - они считаются валидными.
4. Если информация признана валидной, кворум DVN подтверждает ее своими подписями и тем самым одобряет процесс доставки сообщения в Ethereum.

По реконструкции взлома от @banteg (core-разработчик Yearn Finance), наиболее вероятная конфигурация - это три RPC: один сторонний (предположительно QuickNode) и два собственных LayerZero. (Ссылки на посты в X - здесь и здесь.) Он также провел это исследование, где пришел к выводу, что взлом произошел изнутри инфраструктуры LayerZero, а не был просто взломом сторонних RPC-нод (повторюсь, не подтверждено).

Вектор атаки:

1. Два RPC были заражены вредоносным кодом.
2. На оставшийся «чистый» сторонний RPC была проведена DDoS-атака - чтобы DVN был вынужден переключиться на скомпрометированные узлы.
3. Вредоносный код действовал крайне избирательно: он отправлял поддельные данные только для DVN и только те, которые были связаны с поддельным кросс-чейн сообщением о передаче rsETH. Все остальные данные передавались в штатном режиме, чтобы системы безопасности не сработали раньше, чем нужно.
4. После атаки вредоносный код самоуничтожился и подчистил за собой все логи и любые следы взлома и своей активности.

Важно! В LayerZero список RPC-нод, обслуживающих конкретный блокчейн, не является публичным. При этом LayerZero не раскрыли его даже после инцидента, хотя это очень важная деталь. Поэтому все, что описано далее, пока не подтвердилось на 100%, но выглядит очень правдоподобно.

Главный спор между LayerZero и KelpDAO в том, что у них был настроен только один DVN (дефолтное значение) и что рекомендуемая безопасная настройка должна включать больше DVN. Неудобный момент здесь в том, что, по данным CoinDesk, около 40% приложений на LayerZero на момент атаки работали в конфигурации DVN 1-of-1.

Еще несколько важных моментов в этой атаке:

1. Из Unichain в Ethereum было переведено 116 500 rsETH, но, как мы упомянули ранее, весь totalSupply на Unichain составлял только около 50 rsETH - почему DVN это не проверил?
2. В системе LayerZero для каждого кросс-чейн сообщения используются пакеты, каждому пакету присваивается nonce. Во время атаки в Ethereum был успешно доставлен пакет с nonce 308, который на тот момент не существовал в Unichain - почему и это не было проверено DVN или другими системами мониторинга? Нельзя же полагаться только на RPC?

Все, что описано выше, было только первой частью взлома - дальнейшие действия атакующих были не менее изобретательны.

После взлома атакующий действовал не как взломщик, а как арбитражер. Каждое его действие было заранее просчитано и автоматизировано, по одной и той же схеме:

1. Депозит rsETH в Aave V3 как залог
2. Включение eMode 3 - режима высокой эффективности для коррелированных активов (rsETH <-> ETH считаются коррелированными, потому что один обеспечен другим)
3. Заем ETH под ~99% LTV - максимум, который позволяет eMode
4. Пересылка всего полученного дальше на этап "отмывания" денег

Самое неприятное - позиции на Aave все еще открыты. rsETH-залог лежит в протоколе, бесполезный как обеспечение, неликвидируемый по любой осмысленной цене. Атакующий не собирается его выкупать - реальные ETH давно ушли через THORChain в Bitcoin. Кредит остался без обеспечения. Это теперь проблема Aave.

В результате атаки около $178M на первом этапе взлома было консолидировано в Ethereum, около $72M в Arbitrum.

Прямой ущерб от взлома KelpDAO - $290M. Но косвенный ущерб оказался почти в 45 раз больше: $13.21 миллиарда TVL ушли из DeFi за 48 часов. Чтобы понять, как это работает, удобно разделить пострадавших на три уровня глубины.

Первый уровень: bad debt

Это протоколы, которые приняли украденный rsETH как залог и выдали под него реальные деньги. Здесь финансовая дыра реальна и количественно измерима.

Aave - главный пострадавший: между $123M и $230M bad debt в зависимости от того, как будут распределены убытки.

Compound V3 - $39.4M. Euler - $840K. Оба заморозили рынки в течение часа после первого предупреждения.

Второй уровень: операционная заморозка

Сюда попадают протоколы, которые имели экспозицию к rsETH через залог, ликвидность или yield-стратегии и были вынуждены остановить операции, даже если прямого bad debt не получили. SparkLend, Fluid, Athena, Yearn, Pendle, Beefy, Upshift - все остановили рынки rsETH в первые часы.

Lido оказался задет через свой продукт EarnETH: экспозиция $21.6M (около 9% хранилища).

И отдельно стоит Morpho - единственный из крупных lending-протоколов, отделавшийся потерей в $1M. Не потому что Morpho что-то предвидел. А потому что архитектурно он устроен иначе: Morpho использует изолированные рынки, где каждая пара залог/займ существует в собственном контейнере и плохой долг в одной паре не распространяется на другие. Когда rsETH-рынок Morpho стал токсичным, токсичность осталась внутри этого рынка.

Третий уровень: паника, спасайся кто может

Десятки протоколов, не имеющих никакой экспозиции к rsETH, остановили свои мосты на LayerZero - просто потому что больше не понимали, какая инфраструктура безопасна. Ethena, EtherFi, Curve, WBTC, TRON, Pengu, MOCA Foundation, ApeChain, Solv Protocol - в твиттере насчитали 31 паузу LayerZero, после чего просто перестали считать.

Залоченная ликвидность

Отдельная категория - протоколы, которые сами не имели bad debt, но не могли вывести свои деньги из Aave, потому что WETH-пул уперся в 100% utilization. Mellow ($338M), Avant ($310M), Upshift ($302M), Kiln ($245M), CIAN ($199M), Mantle ($164M), World Liberty Financial ($123M) - список продолжается. Это не их деньги ушли в bad debt. Это их депозиты оказались заморожены, потому что доступная ликвидность была вычерпана атакующим.

И это, возможно, самый важный урок для понимания взлома KelpDAO. Прямые потери - $290M. Заморожено в неработающих позициях - несколько миллиардов. Composability работает в обе стороны: она позволяет одному капиталу обслуживать десятки протоколов одновременно - но в момент стресса этот же капитал обнаруживает, что он зависит от десятков протоколов одновременно.

Aave принял на себя 90% удара от взлома, которого не было в его инфраструктуре. Никакая строка кода Aave не сработала неправильно. Никакой параметр не вышел за пределы заданных границ. Ни одна функция не была проэксплуатирована. И тем не менее TVL Aave упал с $26 миллиардов до $15 миллиардов, AAVE-токен потерял 18% в первый день, а stkAAVE-стейкеры столкнулись с перспективой разводнения доли — за инцидент в чужом мосте.

Структурная проблема - концентрация LRT-залога

Здесь нужно посмотреть на еще один уровень. Удар получился настолько разрушительным не только потому, что Aave принимал rsETH. А потому что Aave принимал много rsETH - и других подобных токенов.

К моменту атаки 98.5% залога под WETH-займы в Aave приходилось на ETH LST/LRT-токены (stETH, wstETH, rETH, weETH, rsETH), использующихся как обеспечение под займы реального WETH. Простыми словами: вкладчик, который положил WETH в Aave, чтобы получать процент, на самом деле выдавал займ под расписки на ETH - расписки, чья надежность зависела от десятков внешних протоколов, мостов и custody-структур, о которых вкладчик никогда не слышал.

18 апреля WETH-пул Aave достиг 100% utilization. Это означает, что в пуле не осталось ни одного свободного WETH для вывода. Депозиторы, которые попытались выйти - не смогли. Их заявки попали в очередь, и очередь не двигалась, потому что заемщики не возвращали ETH.

Кто понял первым - успел выйти до того, как пул уперся в потолок: MEXC увел $431M, Abraxas Capital - $392M, кит, связанный с Nonco - $405.7M. Это были крупные операторы с автоматизированным мониторингом. Все остальные оказались заперты.

Дальше включился вторичный эффект. Заемы под USDT в Aave выросли на +$300M за 24 часа - люди занимали под собственные стейблкоины, чтобы хоть как-то добраться до ликвидности, которую не могли вытащить напрямую. Это хорошая иллюстрация того, как работает банковская паника в DeFi: когда основной канал ликвидности заблокирован, капитал ищет любые обходные маршруты, даже невыгодные. (Если хочется глубже разобраться в механике пулов и утилизации - у нас есть материал про пулы ликвидности в DeFi.)

Проблема Aave была не в том, что rsETH вообще приняли как обеспечение. Проблема в том, что риск rsETH оценивался как риск близкого к ETH актива, а не как риск сложного LRT-инструмента с кросс-чейн зависимостями. Когда мост стал источником поддельного залога, Aave получил не market risk, а инфраструктурный риск, импортированный через collateral listing.

Сломанный защитный механизм AAVE

Aave имеет страховой механизм - Umbrella, систему, в которой stkAAVE - стейкеры обеспечивают защитный механизм от bad debt. На бумаге все выглядело хорошо: около $54M, готовых покрыть дефицит.

На практике произошло следующее. К моменту публикации incident report Aave 80% модуля - 18 922 aWETH из 23 507 - уже было поставлено на анстейкинг. Стэйкеры пытались эвакуироваться из самого буфера, который должен был покрывать убытки. Сервис-провайдеры Aave рекомендовали экстренно остановить Umbrella, чтобы предотвратить дальнейший capital flight из фонда защиты.

К моменту публикации первого incident report выяснилось, что три четверти украденных средств уже за пределами досягаемости. Однако часть средств - около $72M - оказалась на Arbitrum. И вот здесь произошло событие, которое еще долго будет обсуждаться в DeFi.

Беспрецедентное вмешательство Arbitrum

20 апреля Совет безопасности Arbitrum - комитет из 12 человек с привилегированным доступом к сети - провел голосование. Девять из двенадцати проголосовали за чрезвычайное действие: использовать privileged system-level transaction, чтобы силой переместить 30 766 ETH (~$73.6M) с адреса атакующего на нейтральный замороженный кошелек. Не блокировка через смарт-контракт, не пауза токена - прямая принудительная транзакция от имени блокчейна.

Это первый в истории случай, когда governance-структура L2 силой изъяла средства у конкретного пользователя on-chain. В Ethereum-сообществе аналогов этому нет. Bitcoin никогда такого не делал. Даже после взлома The DAO в 2016 году, когда Ethereum провел хардфорк для отката средств - это было сделано через консенсус всей сети, а не через привилегированную команду. Этот момент вызвал много споров в сообществе.

DeFi United

Параллельно с действиями Arbitrum в DeFi-сообществе родилась координированная инициатива восстановления - DeFi United.

В коалицию вошли Aave, Mantle, EtherFi, Lido, Golem, Ink Foundation, Tydro, Frax и LayerZero. Stani Kulechov, основатель Aave, лично заложил 5 000 ETH из собственных средств. EtherFi предложил внести еще 5 000 ETH. Lido - 2 500 stETH. Цель - восстановить полное 1:1 backing rsETH на всех 20 сетях, не дожидаясь, пока обещанная «социализация убытков» доберется до конкретных решений.

Логика участников проста: если допустить, что rsETH окончательно потеряет привязку, и Aave получит максимальный bad debt - это станет прецедентом, при котором интеграция любого LRT в любой lending-протокол перестанет иметь экономический смысл. Каждый из участников DeFi United имеет интерес в том, чтобы LRT-сегмент не схлопнулся. Поэтому они скидываются за чужой инцидент.

Но момент написания долг покрыт только наполовину. Дальнейшее покрытие зависит от двух вещей: насколько Arbitrum сможет легально вернуть замороженные средства KelpDAO (эта процедура еще не завершена) и насколько участники DeFi United смогут наполнить фонд.

Из этого взлома можно сделать много выводов, самый главный из них - в системах которые управляют миллиардами долларов нет ничего несущественного, важна каждая мелочь. Если какая-то из ее частей успешно работала несколько лет - это еще не значит что она не будет взломана. А если уйти в детали то выводы должны быть примерно следующие:

1. Bridge configuration audit. Если ваш протокол использует LayerZero, Wormhole, Axelar или любой другой messaging-слой - проверьте конфигурацию слоя верфикации прямо сейчас, не дожидаясь следующего инцедента. Стоит помнить: по данным анализа Dune Analytics - 47% всех OApp на LayerZero на момент атаки работали в режиме 1-of-1.
2. Bridge exploit monitoring. У протокола должен быть мониторинг признаков bridge exploit: несоответствие totalSupply между сетями, невозможный nonce, подозрительный объем перевода, аномальная скорость mint/burn-событий и резкое изменение баланса escrow-пула. В кейсе KelpDAO один поддельный пакет превратился в хакерскую атаку на DeFi именно потому, что эти инварианты не остановили сообщение до исполнения.
3. Cross-chain invariant monitoring. Должен существовать мониторинг критических инвариантов при кросс-чейн передаче: были ли сожжены или залочены токены в source chain, существует ли nonce в исходной сети, соответствует ли объем перевода реальному supply и не превышает ли он заранее заданные лимиты.
4. Off-chain infrastructure security. Off-chain слой - RPC-узлы, relayers, oracles validators - должен входить в тот же скоуп security review, что и смарт-контракты.
5. LRT collateral risk model. Текущих методов оценки риска для залоговых активов явно недостаточно. Для LRT вроде rsETH нужно отдельно учитывать рестейкинг-риски, bridge-зависимости, ликвидность на вторичном рынке, концентрацию залога и возможность появления bad debt в DeFi при резкой потере доверия к активу.
6. Isolated markets vs shared liquidity pools. Когда rsETH-рынок Morpho стал токсичным, токсичность осталась внутри этого рынка. Bad debt - около $1M. У Aave с shared pool - между $123M и $230M.
7. Pause path. KelpDAO нажал паузу через 46 минут после взлома. Это считается быстро. По меркам DeFi - действительно быстро. По меркам атакующего, который автоматизировал извлечение средств через Aave - было сделано на 27 минут позже, чем нужно.

После взлома все начали обвинять друг друга и искать крайнего: AAVE -> KelpDAO, KelpDAO -> LayerZero, LayerZero -> KelpDAO. По факту все по своему "хороши". Плюс к этому добавилось споров про заморозку средств на Arbitrum, методов обеспечения bad debt AAVE, безопасность LayerZero. Все три протокола сильно подорвали доверие к себе и к децентрализованным системам.

Незадолго до взлома KelpDAO, 1 апреля 2026 года, был взломан Drift Protocol на $285M. Атака требовала шесть месяцев social engineering: атакующие посещали конференции, строили отношения с контрибьюторами, депонировали $1M собственного капитала и ждали подходящего момента. Это была операция в стиле традиционного шпионажа, просто с криптой как целью.

Именно поэтому в выводе нельзя говорить только о «техническом баге» или «ошибке настройки моста». Современная хакерская атака на DeFi все чаще выглядит как комбинация bridge exploit, компрометации off-chain инфраструктуры, социальной инженерии и отмывания средств через несколько сетей. Если за такими операциями действительно стоят Lazarus Group или связанные с Северной Кореей структуры, включая кампании уровня TraderTraitor, то DeFi-протоколы конкурируют уже не с одиночными exploit-hunter’ами, а с командами, которые работают как полноценные киберразведывательные подразделения.

Все это болезненно для доверия к децентрализованным финансам, но с другой стороны такие инциденты пока не способны убить DeFi, но точно сделают его намного сильнее и безопаснее через выученные уроки. Новые векторы атак "войдут в учебники" по безопасности и приведут к усилению оффчейн инфраструктур, улучшению дизайна и другим мерам предотвращения подобных взломов.