Злом мосту KelpDAO на $293 млн: 1-of-1 DVN, 46 хвилин і борг Aave до $230 млн

Коротко (TL;DR)

18 квітня 2026 року міст протоколу KelpDAO випустив на Ethereum 116 500 токенів rsETH, яких ніхто не спалював у мережі-джерелі. Збиток — $291–293 млн за оцінками чотирьох незалежних трекерів. Жодного рядка смартконтракту зламано не було: атакувальник обдурив не код, а єдиного верифікатора, який підтверджував повідомлення між мережами.

• Діра була в налаштуванні, а не в коді. Міст працював у конфігурації 1-of-1 DVN: один обов’язковий верифікатор, нуль резервних. Цю конфігурацію обрав KelpDAO попри рекомендації LayerZero щодо мульти-DVN надлишковості — а LayerZero, зі свого боку, дозволяв власному верифікатору працювати наодинці на переказах у сотні мільйонів.
• 46 хвилин від крадіжки до стоп-крана. Дрейн завершився о 17:35 UTC, екстрена пауза — о 18:21 UTC. Дві повторні спроби о 18:26 і 18:28 UTC на 40 000 rsETH (близько $95–100 млн) уже не пройшли.
• Платив не тільки KelpDAO. Викрадені 89 567 rsETH пішли заставою в Aave, під них позичено близько $190–236 млн WETH. Поганий борг Aave — $124–230 млн залежно від схеми розподілу втрат.
• Помилка виявилася двосторонньою, і визнали це не одразу. У квітні LayerZero вказував на вибір KelpDAO, у травні визнав свою частину: «we made a mistake by allowing our DVN to act as a 1/1 DVN for high-value transactions». KelpDAO пішов із LayerZero на Chainlink CCIP.
• Мости — найдорожча категорія зломів, і вона зростає. За нашим розрахунком на наборі даних DeFiLlama, частка мостових втрат у загальному обсязі вкраденого зросла з 16,67% за всю історію до 36,7% у першому півріччі 2026 року. Медіанний мостовий інцидент у 3,25 раза більший за немостовий.
• Це ризик сьогоднішнього дня, а не історія. Станом на 30 серпня 2026 року 34,3% усього TVL мереж Ethereum L2 — $12,88 млрд із $37,59 млрд — тримається на тій самій моделі довіри «зовнішній верифікатор», що підвела KelpDAO.

Злом KelpDAO: як міст на LayerZero випустив $293 млн із повітря

KelpDAO (Kelp DAO) — протокол ліквідного рестейкінгу. Вкладник віддає ETH, отримує токен rsETH і разом із ним право на дохідність рестейкінгу. Щоб rsETH ходив не тільки мережею Ethereum, у протоколу є міст: токен «заморожується» в одній мережі й випускається в іншій. Спалювання в мережі-джерелі та випуск у мережі-отримувачі — це дві різні транзакції у двох різних блокчейнах, і пов’язати їх може лише хтось третій, хто підтверджує: «так, там справді спалили». Механіку мостів загалом ми розбираємо окремо; тут важлива рівно одна деталь — цей «хтось третій» і є точкою, яку атакували.

Цей розбір — урок блоку «Мости і мультичейн» курсу «DeFi: від першої транзакції до профі-стратегій».

У KelpDAO таким підтверджувальним ланцюгом був єдиний верифікатор в інфраструктурі LayerZero. 18 квітня 2026 року атакувальник отримав root-доступ до двох незалежних RPC-вузлів цього верифікатора, підмінив на них бінарники вузла і паралельно влаштував DDoS на чисті вузли — щоб верифікатор перемкнувся саме на отруєні. Далі отруєні вузли повідомили те, чого не було: нібито в мережі Unichain спалено 116 500 rsETH. Верифікатор підписав повідомлення, endpoint на Ethereum випустив токени.

BINANCEДосі дивишся збоку?Ринок працює без вихідних. Рахунок на Binance відкривається за 2 хвилини.Почати зараз

Формулювання «експлойт без жодної вади» звучить як парадокс, але саме так це описала аудиторська фірма OpenZeppelin: публічно не виявлено жодної вразливості смартконтракту, а $292 млн усе одно пішли. Зламали не логіку коду, а припущення про довіру, на якому ця логіка стояла.

Ризики DeFi за шарами: два зломи дали 44% втрат, і жоден не баг коду

EIP-7702: один підпис віддає адресу контракту, а 97% делегувань вели на sweeper

Rug pull і тихий вихід команди: 5 протоколів від піку TVL до нуля

OpenAI зупинила навчання найпотужніших моделей: агент вийшов із пісочниці через DNS

Crypto bridge між блокчейнами: три схеми і ціна від $0,063 до $0,19

1-of-1 DVN у мосту KelpDAO: чому один верифікатор — це діра

DVN (Decentralized Verifier Network) в архітектурі LayerZero — це зовнішня служба, яка читає подію в мережі-джерелі й підтверджує застосунку в мережі-отримувачі, що подія справді сталася. Застосунок сам обирає, скільки таких служб зобов’язані підписатися під повідомленням і скільки додаткових підписів вважати бажаними. Налаштування задається двома числами в конфігурації застосунку.

У мосту KelpDAO ці числа були такі:

• requiredDVNCount = 1 — обов’язковий рівно один верифікатор, і ним був LayerZero Labs;
• optionalDVNCount = 0 — жодного резервного верифікатора;
• поріг згоди — нуль: звіряти підпис немає з чим, другої думки не існує.

Це й називається конфігурацією 1-of-1. Практичний зміст: щоб міст повірив у подію, якої не було, достатньо обдурити одну службу. Не викрасти ключі, не знайти помилку в контракті — достатньо згодувати одній службі неправильні дані про чужу мережу. Що й було зроблено: атака йшла не по контракту, а по RPC-вузлах, з яких верифікатор бере картину світу.

Ключова деталь для оцінки провини: рекомендація LayerZero щодо мульти-DVN надлишковості існувала до інциденту, і KelpDAO її не виконав — цю частину картини LayerZero виклав у першій же заяві. Односкладові конфігурації при цьому не були екзотикою: OpenZeppelin зазначає, що вони лишаються масовими серед інтеграцій і трапляються в довідкових матеріалах. Масштаб оцінював розбір rekt.news: близько 40% застосунків LayerZero працювали на 1-of-1 — 1111 суворих односкладових конфігурацій із понад 3500 вивчених деплоїв. Цифру наведено за одним джерелом, яке саме посилається на стороннє дослідження, тому читати її варто як порядок величини, а не як точний вимір.

Звідси випливає неприємний висновок про аудити. Стандартний аудит перевіряє код контракту. Він, як правило, не відповідає на два інші питання: як налаштовані інтеграції зі сторонніми протоколами в момент розгортання і чи не з’являється в інфраструктурі єдина точка відмови. KelpDAO — це рівно другий випадок. До тієї самої родини належать атаки на оракул, де протоколу підсовують хибну ціну, і supply chain атаки, де шкідливий код приїздить через довірену залежність: код протоколу в обох випадках бездоганний, а гроші зникають.

46 хвилин: хронологія атаки на міст KelpDAO і екстрена пауза

Швидкість реакції тут вимірювана, і це рідкісний випадок, коли її можна порахувати похвилинно. Абсолютні позначки — UTC 18 квітня 2026 року; там, де першоджерело дає лише інтервал, стоїть інтервал, а не виведений із нього точний час.

BINANCE SIMPLE EARNЗмусь крипту працюватиВідсотки на USDT і BTC без блокування — гроші лишаються під рукою.Розмістити

Рядок «18:26 і 18:28» варто прочитати двічі. Екстрена пауза — не бюрократична формальність: вона спрацювала між першою та другою хвилею й утримала ще близько $95–100 млн, які атакувальник уже намагався забрати. Усе, що стояло між цією сумою та втратою, — 46 хвилин і наявність робочого стоп-крана.

Окремо — як узагалі довели, що повідомлення підроблене. Ончейн-ознак виявилося три, і всі перевіряються в оглядачі. Вихідний nonce Unichain, тобто лічильник надісланих мостом повідомлень, застряг на значенні 307 — а атакувальник пред’явив повідомлення з номером 308, якого в мережі-джерелі ніколи не існувало. Увесь запас rsETH на Unichain на той момент становив 49,26 токена: спалити 116 500 там фізично немає чого. Подій переказу, спалювання та надсилання пакета на Unichain не було взагалі. Міст повірив повідомленню, яке спростовувалося трьома різними способами за хвилину перевірки, — бо перевіряти його не було кому, крім однієї скомпрометованої служби.

Поганий борг Aave до $230 млн: хто платить за злом першим

Викрадений rsETH не пішов одразу на біржі. Він пішов у кредитний протокол: 89 567 rsETH внесено заставою в Aave V3, під них позичено 82 650 WETH — за різними оцінками, $190–236 млн реальної ліквідності. Схема працює тому, що для протоколу rsETH лишався нормальною заставою: Aave не був зламаний, у нього не знайшли вразливості, він просто приймав актив, який перестав бути забезпеченим.

Коли стало зрозуміло, що застава фальшива, у Aave лишився борг без покриття. Його оцінки різняться залежно від того, як розподіляти втрати: $123,7 млн за рівномірної соціалізації та до $230,1 млн за ізоляції по L2; центральна оцінка за резервами WETH на Ethereum та Arbitrum — близько $177 млн. Станом на 30 серпня 2026 року остаточну схему розподілу не закріплено, тому цифри нижче — очікуваний розподіл, а не доконаний факт.

Порядок тут і є головним уроком розділу: страховий модуль протоколу — це не «подушка про всяк випадок», а перша черга на списання. Людина, яка поклала гроші в Umbrella заради дохідності, опинилася кредитором останньої інстанції для чужого мосту.

Ринок відреагував ширше, ніж на розмір діри. TVL Aave впав на $8,45 млрд за 48 годин — із $26 млрд приблизно до $15 млрд, а TVL усього DeFi — на $13,21 млрд. Вважати ці мільярди «втратами» не можна: гроші вивели, а не спалили. Але це і є справжня ціна інциденту на мосту — не лише вкрадена сума, а й втеча капіталу, яку вона запускає в сусідів. Схожа механіка описана в нашому розборі експлойта Cosmos EVM: у крос-чейн конструкціях наслідки розходяться далі за периметр зламаного протоколу.

Хто винен — LayerZero чи KelpDAO: суперечка, яка вирішилася визнанням

Перший тиждень після інциденту минув у публічному обміні звинуваченнями, і порядок тут важливий, бо квітневі матеріали багатьох видань зафіксували лише одну сторону.

• 19–20 квітня, версія LayerZero. В офіційній заяві про інцидент компанія наполягала: протокол відпрацював як задумано, вразливості в ньому не знайдено, атака йшла по downstream RPC-інфраструктурі. Відповідальність покладалася на вибір застосунку, дослівно: «LayerZero and other external parties previously communicated best practices around DVN diversification to KelpDAO. Despite these recommendations, KelpDAO chose to utilize a 1/1 DVN configuration». Там само LayerZero атрибутував атаку північнокорейській Lazarus Group, конкретніше — кластеру TraderTraitor.
• 20 квітня, відповідь KelpDAO. Команда заперечувала, що конфігурація 1-of-1 була задокументована в матеріалах самого LayerZero, а її доречність підтверджували під час обговорень розширення rsETH на L2. Це позиція сторони в суперечці, а не встановлений факт — але саме вона поставила запитання, на яке LayerZero відповідав наступні три тижні.
• 9–10 травня, розв’язка. Після хвилі критики від протоколів і дослідників безпеки LayerZero визнав свою частину: «We believe developers should choose their own security configurations, but we made a mistake by allowing our DVN to act as a 1/1 DVN for high-value transactions. We didn’t police what our DVN was securing, which created a risk we simply didn’t see. We own that». Там само компанія порадила застосункам фіксувати конфігурації, а не покладатися на налаштування за замовчуванням, підконтрольні LayerZero Labs.
• Підсумок. KelpDAO відмовився від LayerZero і мігрував на Chainlink CCIP.

Точна картина тут важливіша за ефектну: помилок було дві, і належать вони різним сторонам. KelpDAO обрав конфігурацію, про ризики якої його попереджали. LayerZero дозволяв власному верифікатору наодинці забезпечувати перекази в сотні мільйонів і, за його ж формулюванням, не стежив за тим, що цей верифікатор забезпечує. Обидві частини з’ясувалися не одночасно: перша прозвучала наступного дня після злому, друга — лише через три тижні й під тиском. Для читача це перекладається в просте правило: з’ясувати, яка конфігурація безпеки стоїть у мосту й чи була вона обрана свідомо, — частина оцінки ризику, а не занудство. І читати першу заяву постраждалої інфраструктури як позицію сторони, а не як розбір.

Реакція на злом KelpDAO: замороження на Arbitrum і Chainlink CCIP

Два пункти в цій таблиці стоять осібно. Перший — замороження на Arbitrum: воно спрацювало, бо в мережі є Рада безпеки з повноваженнями зупинити кошти, і це рівно та централізація, за яку L2 критикують у спокійний час. Другий — зміна політики LayerZero: інфраструктура перестала обслуговувати конфігурацію, яку сама ж роздавала за замовчуванням. Ані те, ані інше не є гарантією на майбутнє — це разові ручні рішення, ухвалені після втрати $293 млн.

Карта найбільших зломів мостів: від Poly Network до KelpDAO

Щоб зрозуміти, наскільки KelpDAO типовий, ми відсортували набір даних DeFiLlama Hacks за сумою й лишили мостові інциденти. Причину кожного зводимо до одного слова — так видно, чи повторюються вони.

Компрометація ключів — причина трьох рядків із восьми, підробка доказу або підпису — ще трьох; свіжий приклад другого класу — експлойт мосту Taiko з підробленими proof’ами. Унікальність KelpDAO не в способі обману, а в точці його прикладання: це перший випадок у верхній вісімці, де відправною причиною стала конфігурація верифікатора, а не вкрадений ключ і не помилка в логіці контракту.

Друге, що дає цей набір даних, — розподіл усередині категорії. Топ-10 мостових зломів усіх часів — це $3,0083 млрд із $3,3564 млрд суми всіх 88 зафіксованих мостових інцидентів, тобто 89,6% категорії. Звідси практичний висновок, який рідко проговорюють: порада «користуйся різними мостами» захищає від частих дрібних інцидентів, але майже не захищає від того, що формує статистику. Дев’ять десятих втрат категорії створює жменя катастроф, і потрапити в одну з них можна рівно один раз.

Чому в мостів найбільші втрати: частка зростає рік до року

Ми порахували частку мостових втрат у загальному обсязі вкраденого за сирим набором даних DeFiLlama Hacks (усі інциденти із сумою більшою за нуль, n = 1196) у трьох вікнах. У кожному рядку наведено і чисельник, і знаменник — щоб цифру можна було перезібрати.

Зростання очевидне, але має важливе застереження: це не нова хвороба. У 2022 році, за підрахунками DL News, на мости припало близько $1,8 млрд із $3,2 млрд усіх втрат DeFi — тобто 56%, локальний пік вищий за сьогоднішній. Правильне прочитання тренду — не «мости раптом стали небезпечними», а «частка мостів хронічно висока й знову зростає після провалу середини десятиліття».

Другий спосіб подивитися на ту саму природу — розмір типового інциденту. Медіанний мостовий злом коштує $2 927 243 проти $900 000 у немостового, тобто в 3,25 раза дорожче; за середнім розрив менший — $38 140 374 проти $15 137 357, у 2,52 раза. Медіана тут чесніша за середнє: вона говорить не про кілька гігантських випадків, а про те, що типовий мостовий інцидент більший за типовий немостовий утричі з гаком.

Причина структурна, і KelpDAO ілюструє її буквально. Міст тримає активи багатьох користувачів за одним вузьким місцем перевірки — ключем, підписом або верифікатором. Злом окремого кредитного ринку забирає те, що лежить у цьому ринку; компрометація вузького місця мосту вивільняє все, що міст забезпечує, і робить це однією транзакцією.

Окремо варто тримати на думці, що різні трекери рахують по-різному. Наш розрахунок за DeFiLlama дає за перше півріччя 2026 року $988,3 млн втрат на 162 інциденти, а звіт CertiK Hack3d за той самий період — $1 315 676 432 на 344 інциденти. Розбіжність методологічна: різні критерії включення інциденту в набір даних. Цифри не додаються й не заміняють одна одну — ми наводимо обидві, щоб було видно, що «скільки вкрали за півріччя» залежить від того, хто рахував.

Третина TVL мереж L2 тримається на зовнішніх верифікаторах мостів

Найнеприємніше в цьому інциденті — що модель довіри, яка його допустила, нікуди не зникла. Перевірити це можна на живих даних: L2BEAT публікує TVL мереж другого рівня в розбивці за тим, чим саме забезпечені активи. Ми взяли зведення з масштабування L2BEAT станом на 30 серпня 2026 року, 07:00 UTC, і порахували частки.

Різниця між першим і другим рядком — це і є різниця між KelpDAO та його відсутністю. Канонічний міст ролапу забезпечений контрактом на Ethereum: щоб вивести з нього активи неправомірно, треба зламати сам механізм ролапу. Зовнішній міст забезпечений обіцянкою стороннього верифікатора, що подія в іншій мережі справді сталася, — рівно тією обіцянкою, яка у квітні виявилася підробленою.

$12,88 млрд під цією моделлю — це не гіпотеза «а раптом повториться», а третина поточного ринку L2 просто зараз. За місяць частка трохи знизилася: станом на 31 липня 2026 року вона становила 37,2%. Пов’язувати це зниження безпосередньо з інцидентом ми не будемо — даних для такого висновку немає, відплив міг іти з десятка причин.

Як оцінити ризик мосту перед переказом: п’ять запитань

Це не інструкція «як влаштований міст», а коротка діагностика конкретного маршруту перед тим, як надіслати ним гроші. П’ять запитань закривають рівно ті місця, де ламався KelpDAO.

1. Скільки верифікаторів підтверджує повідомлення і це свідомий вибір чи дефолт? Один обов’язковий верифікатор без резервних — конфігурація KelpDAO. У застосунків на LayerZero це видно в параметрах DVN; у мостів ролапів відповідь інша — там забезпечення дає контракт на Ethereum. Якщо відповіді немає ні в документації, ні в дашборді проєкту, це саме собою відповідь. Після інциденту сам LayerZero радить застосункам фіксувати конфігурації, а не покладатися на налаштування за замовчуванням, підконтрольні LayerZero Labs, — те саме запитання має сенс ставити й ззовні.
2. Чим забезпечений актив, який ви отримаєте на тому боці? Канонічний міст мережі та сторонній «обгортковий» токен від зовнішнього емітента — це два різні ризики за однакового тикера в інтерфейсі. Розбивка L2BEAT за canonical / external / native показує це для кожної мережі.
3. Чи є в мосту робочий стоп-кран і хто може його смикнути? У KelpDAO пауза спрацювала за 46 хвилин і врятувала близько $95–100 млн. Запитання до будь-якого мосту: чи існує механізм екстреної зупинки, хто ним керує і як швидко він спрацьовував минулого разу.
4. Як давно інцидент був у самої інфраструктури, а не в застосунку? Зламали не KelpDAO — зламали RPC-вузли верифікатора. Дивитися варто не лише на історію протоколу, а й на історію служби, якій він делегував перевірку.
5. Чи сумірна сума переказу з ціною помилки? Якщо сума для вас значуща, великий переказ розумно розбити на частини й рознести в часі, а не тестувати маршрут усією сумою одразу. Замороження коштів, як на Arbitrum, — виняток і ручне рішення, а не властивість системи.

Що застаріє в цьому розборі першим: частки за L2BEAT та оцінки поганого боргу Aave. Перші перераховуються щодня на сторінці зведення L2BEAT, другі зміняться, коли спільнота затвердить остаточну схему розподілу втрат. Дати й суми самого інциденту зафіксовані й змінюватися не будуть.

Часті запитання

Що саме було налаштовано неправильно в мосту KelpDAO?

Міст працював у конфігурації 1-of-1 DVN: requiredDVNCount = 1 та optionalDVNCount = 0. Повідомлення між мережами підтверджував рівно один верифікатор — LayerZero Labs — без резервних підписантів і без порога згоди. Обдурити таку схему можна, скомпрометувавши одну службу, що й сталося. Рекомендована мульти-DVN надлишковість існувала, але увімкнена не була.

Скільки грошей вкрали під час злому KelpDAO і коли це сталося?

18 квітня 2026 року, дрейн завершився о 17:35 UTC. Викрадено 116 500 rsETH — близько 18% обігової пропозиції токена. У доларах оцінки трекерів різняться в діапазоні $291–293 млн: DeFiLlama фіксує $293 млн, CertiK — $291 млн, LayerZero у заяві говорить про приблизно $290 млн. Ще близько $95–100 млн атакувальник вивести не встиг.

Винен LayerZero чи KelpDAO у втраті $293 млн?

Винні обидві сторони, і визнавали це по черзі. KelpDAO обрав конфігурацію 1-of-1 попри рекомендації — так це описав LayerZero наступного дня після злому. Через три тижні, 9–10 травня 2026 року, LayerZero визнав своє: він дозволяв власному DVN працювати наодинці на великих переказах і не стежив, що той забезпечує. KelpDAO після цього перейшов на Chainlink CCIP.

Хто зрештою заплатив за поганий борг Aave після злому KelpDAO?

Збиток розподіляється за трьома рівнями. Першими — стейкери Umbrella-вольта: $56 млн TVL проти $113 млн поганого боргу лише на Ethereum, тобто вольт виноситься повністю. Другими — власники AAVE, близько $120 млн залишку, ймовірно через емісію та розмивання. Третіми — власники бриджнутого rsETH з очікуваним haircut 15–20%.

Чи повернули викрадені кошти і скільки?

Частково. Рада безпеки Arbitrum заморозила 30 766 ETH — близько $73,6 млн. Ініціатива DeFi United за участю Aave, Lido, EtherFi та Mantle зібрала понад $300 млн на покриття дефіциту. Відшкодування йшло траншами: 13 травня — 25 000 rsETH і перевідкриття мосту, 14 травня — відновлення виведення, 25 травня — фінальні 20 373,72 rsETH.

Чому в мостів між блокчейнами найбільші суми втрат серед усіх типів DeFi-зломів?

Міст концентрує активи багатьох користувачів за одним вузьким місцем перевірки — ключем, підписом або верифікатором. Його компрометація вивільняє все забезпечення одразу, а не частку. У цифрах: медіанний мостовий інцидент у 3,25 раза більший за немостовий ($2,93 млн проти $0,9 млн), а топ-10 мостових зломів дають 89,6% усіх втрат категорії.

Чи можна було запобігти злому KelpDAO перевіркою на аудиті?

Стандартний аудит смартконтракту — ні: вади в коді не знайшли ні до інциденту, ні після. Потрібен інший клас перевірки, який дивиться на конфігурацію інтеграцій у момент розгортання і на єдині точки відмови в інфраструктурі. OpenZeppelin прямо зазначає, що аудити зазвичай цього не покривають, а SEAL 911 радить звіряти відповіді кількох незалежних RPC-шлюзів.