Взлом Kelp DAO 18 апреля 2026 года спровоцировал крупнейшую за год волну потерь в DeFi: злоумышленники выпустили 116 500 необеспеченных rsETH, взломав единственный узел‑верификатор LayerZero. Прямые и «цепные» убытки превысили $600 млн, а совокупный ущерб по сектору приближается к $1 млрд. По данным DefiLlama, общий TVL DeFi рухнул до минимума за 12 месяцев после оттока $13 млрд за 48 часов.
Критическая ошибка была в архитектуре: мост rsETH полагался на конфигурацию 1‑из‑1, на что ранее указывали в Halborn. LayerZero считает вероятным исполнителем северокорейскую группировку Lazarus (подгруппа TraderTraitor): были скомпрометированы два RPC, резервные узлы заддосили, затем внедрили фальшивое сообщение без взлома смарт‑контрактов. В результате отчеканили rsETH на ~18% от обращения, далее его быстро конвертировали через Aave, SparkLend и Fluid, используя Tornado Cash; логи на RPC стерли.
«Сегодня мы выявили подозрительную межсетевую активность с rsETH. Мы приостановили контракты rsETH в мейннете и ряде L2 и ведём расследование», — сообщили в Kelp DAO в соцсетях.
Рынки rsETH на Aave, SparkLend и Fluid заморожены. TVL Aave упал с $26,4 млрд до примерно $18 млрд — самый большой удар по одному протоколу; оттоки затронули и те, у кого не было rsETH, например Compound.
Дальнейшая динамика зависит от отчёта Kelp и урегулирования «плохих долгов» на Aave. Токен AAVE уже просел более чем на 20%. Если LayerZero затянет переход на многоверефикаторную схему за пределы Q2, возможна новая волна оттоков.