18 апреля протокол ликвидного рестейкинга Kelp приостановил все смарт-контракты после атаки на bridge-контракт токена rsETH. С платформы вывели около $293 млн. Компания Cyvers, первой обнаружившая атаку, назвала произошедшее "межпротокольным заражением" - пострадали как минимум девять DeFi-протоколов.
Как хакер взломал Kelp
Kelp - протокол ликвидного рестейкинга на базе Ethereum. Его токен rsETH позволяет пользователям получать доход от стейкинга, сохраняя ликвидность актива. Bridge-контракт, управляющий межсетевыми переводами rsETH, и оказался уязвимым звеном.
Хакер заранее подготовил адрес через Tornado Cash - миксер, скрывающий источник транзакций. Пока Kelp реагировал, злоумышленник успел конвертировать большую часть активов в ETH и переместить их дальше по сети. Cyvers зафиксировали $250 млн в ETH ещё до того, как платформа остановила контракты.
Девять протоколов остановили работу
Aave первой заморозила рынки rsETH на версиях V3 и V4. rsETH широко использовался как залог в протоколе, и продолжение работы грозило убытками вкладчикам. Решение о заморозке приняли в течение нескольких часов после обнаружения атаки.
- Как минимум 9 DeFi-протоколов имели открытые позиции по rsETH
- Kelp остановил контракты на mainnet и нескольких L2-сетях
- Атаку обнаружила Cyvers ещё до официального подтверждения от команды
- Официальное заявление Kelp: "Мы обнаружили подозрительную межсетевую активность и расследуем ситуацию"
Риск композабельности: чем расплачивается DeFi
CEO Cyvers Deddy Lavid прокомментировал кратко: "Этот инцидент показывает риски композабельности в DeFi." Композабельность означает возможность протоколов взаимодействовать друг с другом как детали конструктора. Каждый мост, каждый токен-обёртка, каждый новый уровень добавляет потенциальную точку входа для злоумышленника.
Когда один токен одновременно служит залогом в девяти системах, атака на него обваливает все девять. Рестейкинг как механизм построен именно на этой логике. Поэтому он давно является приоритетной целью для хакеров.
Взломы 2026 года: непрерывная серия
Взлом Kelp произошёл через несколько недель после атаки на Drift Protocol, где хакеры вывели $280 млн после месяцев подготовки с проникновением в команду разработчиков. По данным Cyvers, только в первом квартале 2026 года крипторынок потерял от взломов и мошенничества около $482 млн.
Рестейкинг-протоколы давно считаются рискованными из-за сложной архитектуры и зависимости от cross-chain мостов. Kelp наглядно подтвердил, что эти предупреждения не были теоретическими.
Что дальше
На момент публикации Kelp не ответил на запросы СМИ. Команда ограничилась сообщением о расследовании без конкретных сроков и деталей. Большая часть похищенных средств уже конвертирована и перемещена с идентифицированных адресов - это существенно затрудняет их отслеживание и возврат.
Комментарии
Ваш e-mail адрес не будет опубликован. Обязательные поля отмечены *