Kelp DAO:n rsETH-silta hakkeroitiin 293 miljoonalla dollarilla — vuoden 2026 suurin DeFi-varkaus
- Hyökkääjä väärensi lohkoketjujen välisen viestin ja varasti 116 500 rsETH-tokenia.
- Kelp käytti heikointa mahdollista turvallisuustasoa, jonka riski oli havaittu 15 kuukautta aiemmin.
- Tartuntaefekti levisi yhdeksään DeFi-protokollaan ja aiheutti 177 miljoonan dollarin luottotappiot Aavelle.
- Varastetut varat pestiin Tornado Cashin kautta eikä niitä ole toistaiseksi palautettu.
LayerZero-sillan heikoin turvallisuusasetus mahdollisti hyökkäyksen
Kelp DAO:n rsETH-lohkoketjusilta menetti perjantaina 18. huhtikuuta 116 500 rsETH-tokenia, joiden arvo oli noin 293 miljoonaa dollaria. Hyökkäys on vuoden 2026 suurin yksittäinen DeFi-varkaus, ja se ylittää huhtikuun alussa tapahtuneen Drift Protocolin 285 miljoonan dollarin hakkeroinnin.
Hyökkääjä käytti LayerZeron EndpointV2-sopimuksen lzReceive-funktiota ja väärensi ketjujen välisen viestin. Pääverkon OFTAdapter-sopimus vapautti 116 500 rsETH:tä ilman vastaavaa polttotapahtumaa lähdeketjussa. PANewsin teknisen analyysin mukaan hyökkäyksen mahdollisti Kelpin käyttämä 1/1 DVN-konfiguraatio — heikoin turvallisuustaso, jonka LayerZero sallii. Tässä asetuksessa yksi ainoa validaattorin allekirjoitus riitti ketjujen välisen viestin hyväksymiseen.
Riski oli havaittu jo 15 kuukautta ennen hyökkäystä, mutta konfiguraatiota ei koskaan päivitetty.
Varastetut varat käytettiin lainausprotokollia vastaan
Hyökkääjän lompakko rahoitettiin yksityisyysprotokolla Tornado Cashin yhden etherin poolista kymmenen tuntia ennen varkautta. Varkauden jälkeen hyökkääjä talletti varastetut rsETH-tokenit vakuudeksi Aaveen, Compound V3:een ja Euleriin ja lainasi niitä vastaan yli 236 miljoonaa dollaria WETH-tokeneina.
Tämä strategia loi merkittävän luottotappioriskin lainausprotokollille. Aaven pääverkon luottotappioiksi arvioidaan noin 177 miljoonaa dollaria.
Yhdeksän protokollaa reagoi
Tartuntaefekti levisi laajasti DeFi-ekosysteemissä. Aave jäädytti rsETH- ja wrsETH-markkinat V3- ja V4-versioissa seitsemällä eri ketjulla. SparkLend ja Fluid jäädyttivät omat rsETH-markkinansa. Lido Finance keskeytti earnETH-talletukset rsETH-altistuksen vuoksi, ja Ethena pysäytti LayerZero-pohjaiset OFT-sillat varotoimenpiteenä.
Kelpin hätätilanteen moniallekirjoituslompakko pysäytti sopimukset 46 minuuttia varkauden jälkeen ja esti kaksi noin 100 miljoonan dollarin lisähyökkäysyritystä.
Palautusmahdollisuudet heikot
Noin 250 miljoonaa dollaria varastetuista varoista on jo muunnettu ETH:ksi. Lauantaiaamuna 19. huhtikuuta varoja ei ole palautettu, eikä Kelp ole julkaissut palkkiotarjousta tai neuvottelukutsua hyökkääjälle.
CoinDeskin mukaan tapaus nostaa esiin lohkoketjusiltojen turvallisuuden systemaattisen ongelman. Vuoden 2026 kolme suurinta hakkerointia — Kelp DAO, Drift Protocol ja Grinex — kaikki kohdistuivat siltoihin tai ketjujen välisiin rajapintoihin. LayerZero ei ole toistaiseksi kommentoinut, aikooko se vaatia korkeampia turvallisuustasoja muilta sillan käyttäjiltä.
CoinTelegraphin mukaan lohkoketjusiltojen kautta on varastettu yhteensä yli 3 miljardia dollaria vuodesta 2022 lähtien. Kelpin tapaus osoittaa, ettei ongelma ole ratkaistu — ja että yhdenkin konfiguraatiovirheen seuraukset voivat olla satojen miljoonien luokkaa.
