Мост Kelp DAO выпустил 116 500 rsETH из воздуха — крупнейший взлом DeFi 2026 года на $292 млн

18 апреля 2026 Kelp DAO лишился 116 500 rsETH — около $292 млн по цене на момент атаки и примерно 18% обращения токена. Это крупнейший эксплойт DeFi 2026 года, обошедший февральский инцидент Drift. Смарт-контракты Kelp при этом отработали как написаны: уязвимости в логике rsETH не нашли.

Атака шла по инфраструктуре. Мост использовал конфигурацию 1-of-1 DVN — сообщения между сетями подтверждал единственный верификатор LayerZero Labs. Атакующие подменили два внутренних RPC-узла вредоносным ПО и одновременно устроили DDoS внешнему узлу, от которого зависел DVN; переключение на скомпрометированные узлы скормило верификатору поддельные данные о сжигании rsETH в Unichain, которого не было. Kelp поставил контракты на паузу примерно через 46 минут, занёс адреса в чёрный список и через SEAL-911 заблокировал вторую попытку на 40 000 rsETH. Security Council Arbitrum заморозил 30 766 ETH выведенных средств. Chainalysis приписывает операцию северокорейской Lazarus Group, подгруппе TraderTraitor.

Главное последствие — не сам вывод, а то, куда пошли токены: около 89 600 rsETH атакующий заложил в Aave и занял под них WETH, оставив кредитному протоколу необеспеченный долг. Отсюда вопрос ко всей модели модульной безопасности: 1-of-1 DVN держится на доверии одному оператору, а обёрнутые деривативы ETH разложены по двум десяткам сетей. Дальше — пересмотр требований к кворуму верификаторов и залоговых лимитов на wrapped-активы.