Крах Kelp DAO: $292 млн украдено, Aave на грани дефолта
Крах Kelp DAO: украденные $292 млн угрожают Aave. Кто виноват? Какие сценарии дефолта?
18 апреля 2026 года произошёл крупнейший инцидент в истории децентрализованных финансовых систем: хакеры украли 116 500 токенов rsETH с моста Kelp DAO, что оценили в $292 млн. Эти токены были использованы как залог в протоколе Aave V3 для получения обёрнутого эфира, что вызвало угрозу дефолта на сумму от $123,7 млн до $230,1 млн. Оба проекта — Kelp DAO и LayerZero — обвиняют друг друга в нарушении безопасности.
Согласно отчёту LlamaRisk, хакер, вероятно, принадлежит к северокорейской группе Lazarus. Он получил доступ к списку узлов RPC, используемых в децентрализованной проверенной сети LayerZero. Два узла были заражены, а третий — обездвижен атакой DDoS, что позволило мошеннику подделать сообщение о перекрёстной цепочке, создав 116 500 rsETH.
Kelp DAO быстро отреагировала: остановила все связанные контракты и заблокировала кошельки хакера, предотвратив угон ещё 40 000 rsETH ($95 млн). Однако украденные токены были внесены в Aave V3. Атакант предоставил 89 567 rsETH ($221 млн) в качестве залога и взял в долг 82 650 wETH и 821 wstETH, оставив позиции с крайне низким уровнем фактора здоровья.
С тех пор из Aave ушло почти $10 млрд. Утрата оценивается в $292 млн, но риски дефолта зависят от решений Kelp DAO. LlamaRisk выделил два сценария: первый распределяет потери среди всех держателей rsETH на блокчейне Ethereum и слоях 2, что приведёт к 15%-ному снижению стоимости rsETH и $123,7 млн убытков. Второй сценарий приписывает все потери слоям 2, что увеличит дефолт до $230,1 млн.
LayerZero критикует Kelp DAO за использование 1-of-1 конфигурации DVN, которая создала единую точку отказа. Однако Kelp DAO утверждает, что такая настройка является стандартной по документации LayerZero. Оба проекта обещают сотрудничать над решением проблемы.
Aave обладает $181 млн в казне, что может стать залогом для компенсации убытков. Однако, если утрата будет приписана слоям 2, эти средства не будут использованы. Судьба Aave зависит от того, как Kelp DAO обновит учёт rsETH и курс обмена оракула.
На данный момент Kelp DAO оценивает финансовые последствия и ещё не объявила план распределения убытков. Эксперты предупреждают, что инцидент может усилить скептицизм к протоколам децентрализованных финансовых систем.