Wart $293 milionów exploit DeFi, który ujawnił ukrytą słabość

18 kwietnia 2026 roku, ekosystem zdecentralizowanych finansów stanął w obliczu jednego z największych naruszeń bezpieczeństwa w tym roku. W wyniku bardzo skoordynowanego ataku, około 290–293 milionów dolarów wartości aktywów, czyli około 116 500 rsETH, zostało wyprowadzonych z infrastruktury mostu KelpDAO.

Na pierwszy rzut oka może wydawać się podobny do wcześniejszych exploitów DeFi. Jednak ten incydent wyróżnia się z kluczowego powodu: nie był spowodowany błędem w logice smart kontraktu. Zamiast tego, ujawnił głębszą i bardziej niepokojącą lukę – kruchą naturę infrastruktury pozałańcuchowej, na której wiele protokołów po cichu polega. To rozróżnienie ma znaczenie. Ponieważ choć smart kontrakty z czasem stały się bezpieczniejsze, to otaczające je systemy stają się obecnie główną powierzchnią ataku.

Źródło : @Jeremybtc

Czym jest KelpDAO?

KelpDAO to protokół płynnego restakingu zbudowany głównie na Ethereum, zaprojektowany w celu zwiększenia efektywności kapitału dla użytkowników uczestniczących w ekosystemach stakingowych. Poprzez integracje z frameworkami restakingowymi, takimi jak EigenLayer, KelpDAO pozwala użytkownikom na restakowanie ETH i otrzymywanie płynnego tokena pochodnego rsETH. Token ten może być następnie wykorzystywany w całym ekosystemie DeFi do pożyczek, kolateralizacji lub handlu, efektywnie pozwalając użytkownikom na zarabianie odsetek przy zachowaniu płynności.

Na początku 2026 roku, rsETH stało się znaczącym aktywem w krajobrazie restakingu, głęboko zintegrowanym z wieloma protokołami DeFi. Kluczową częścią tej ekspansji była funkcjonalność międzyłańcuchowa, ułatwiona przez infrastrukturę taką jak LayerZero. To poleganie, jednakże, stało się najsłabszym ogniwem protokołu.

Źródło : @kelpDao

Oś czasu ataku

Exploit rozwinął się szybko, podkreślając, jak szybko mogą eskalować nowoczesne ataki. O godzinie 17:35 UTC, atakujący zainicjowali sekwencję, przesyłając sfałszowaną wiadomość cross-chain. Wiadomość fałszywie wskazywała, że duża ilość rsETH została spalona na Unichain, środowisku L2 powiązanym z Uniswap. Ponieważ system był skonfigurowany z pojedynczym weryfikatorem, wiadomość została zaakceptowana bez wystarczających kontroli redundancji. Spowodowało to uwolnienie około 116 500 rsETH z kontraktów depozytowych opartych na Ethereum do portfeli kontrolowanych przez atakującego.

W ciągu kilku minut środki zniknęły. Około 46 minut później, awaryjny multisig KelpDAO interweniował, wstrzymując protokół. Dwie kolejne próby wyprowadzenia dodatkowych 80 000 rsETH o wartości około 200 milionów dolarów zostały skutecznie zablokowane dzięki tej reakcji. Pomimo częściowego powstrzymania, główne szkody zostały już wyrządzone.

Jak działał atak

To, co czyni ten exploit szczególnie ważnym, to jego metoda. Zamiast wykorzystywać błąd w kodzie smart kontraktu, atakujący obrali za cel warstwę infrastruktury, która waliduje komunikację międzyłańcuchową. Atak obejmował wiele skoordynowanych kroków:

1. Po pierwsze, węzły RPC używane przez sieć weryfikatorów LayerZero zostały skompromitowane lub zmanipulowane. Dało to atakującym kontrolę nad tym, jak interpretowane były dane weryfikacyjne.
2. Po drugie, przeprowadzono atak typu rozproszona odmowa usługi (DDoS) na legalne węzły. Zmusiło to system do polegania na węzłach awaryjnych – z których niektóre znajdowały się pod wpływem atakującego. Dzięki tej kontroli atakujący wygenerowali sfałszowaną wiadomość, która wydawała się prawidłowa w ramach modelu zaufania systemu.
3. Wreszcie, ze względu na konfigurację weryfikatora KelpDAO typu 1-z-1, pojedyncze zatwierdzenie wystarczyło do autoryzacji uwolnienia środków.

Ten wybór konfiguracji, prawdopodobnie dokonany w celu zmniejszenia opóźnień i kosztów, wyeliminował redundancję. A w systemach bezpieczeństwa brak redundancji jest często równoznaczny z pojedynczym punktem awarii.

Atrybucja: rola grupy Lazarus

Firmy zajmujące się bezpieczeństwem, w tym LayerZero i Chainalysis, z dużą pewnością przypisały atak grupie Lazarus, wspieranej przez państwo organizacji hakerskiej powiązanej z Koreą Północną. Bardziej szczegółowo, uważa się, że odpowiedzialna jest podgrupa znana jako „TraderTraitor”.

To nie jest odosobniony incydent. W tym samym miesiącu, Lazarus był również powiązany z:

1. exploitem protokołu Drift, który doprowadził do strat w wysokości około 285 milionów dolarów
2. mniejszym, ale powiązanym atakiem na Hyperbridge

To, co się wyróżnia, to wzorzec. Nie są to oportunistyczne włamania wykorzystujące proste luki. Są to długoterminowe, ukierunkowane operacje, często wymagające miesięcy przygotowań i wielu wektorów ataku. Nacisk wyraźnie przesunął się na infrastrukturę o wysokiej wartości – mosty, systemy restakingu i protokoły cross-chain.

Bezpośredni wpływ na ekosystem DeFi

Konsekwencje ataku były natychmiastowe i szeroko zakrojone. Token rsETH szybko stracił swoje powiązanie (peg), wywołując niestabilność na platformach pożyczkowych. Protokoły takie jak Aave i inne szybko podjęły działania w celu zamrożenia lub ograniczenia rsETH jako zabezpieczenia, aby zapobiec dalszemu ryzyku systemowemu. Ta reakcja, choć konieczna, przyczyniła się do szerszego szoku płynnościowego.

W ciągu kilku dni z platform DeFi wycofano ponad 13 miliardów dolarów wartości całkowitej – co jest jednym z najszybszych odpływów kapitału obserwowanych w ostatnich latach. Incydent ten uwypuklił kluczową rzeczywistość: współczesne DeFi jest silnie ze sobą połączone. Awaria jednego komponentu, zwłaszcza mostu, może kaskadowo rozprzestrzenić się na wiele systemów, wpływając jednocześnie na płynność, stabilność zabezpieczeń i zaufanie użytkowników.

Lekcje dla protokołów i użytkowników

Exploit KelpDAO wzmacnia kilka kluczowych lekcji dla branży.

1. Po pierwsze, redundancja nie jest już opcjonalna. Systemy, które polegają na pojedynczych weryfikatorach lub uproszczonych modelach zaufania, są z natury wrażliwe. Konfiguracje z wieloma weryfikatorami i zdecentralizowane mechanizmy walidacji powinny być uważane za podstawowe wymagania.
2. Po drugie, bezpieczeństwo musi wykraczać poza smart kontrakty. Infrastruktura pozałańcuchowa – węzły RPC, wyrocznie i warstwy weryfikacji – musi być traktowana z taką samą dokładnością jak kod on-chain.
3. Po trzecie, mechanizmy reagowania mają znaczenie. Chociaż KelpDAO poniosło znaczne straty, jego szybki mechanizm pauzy zapobiegł dalszym szkodom. Pokazuje to wartość posiadania dobrze zdefiniowanych kontroli awaryjnych.
4. Dla użytkowników lekcja jest równie jasna. Nadmierna ekspozycja na pojedynczy aktyw lub protokół – zwłaszcza taki, który zależy od złożonej infrastruktury – może zwiększyć ryzyko. Dywersyfikacja i świadomość podstawowych mechanizmów są kluczowe.

Punkt zwrotny dla bezpieczeństwa DeFi

Ten atak, w połączeniu z innymi głośnymi exploitami w 2026 roku, sygnalizuje zmianę w sposobie, w jaki DeFi musi podchodzić do bezpieczeństwa. Branża poczyniła znaczne postępy w audytowaniu smart kontraktów i formalnej weryfikacji. Ale atakujący się dostosowali. Teraz celują w warstwy, które znajdują się poza samym blockchainem – interfejsy, kanały komunikacji i założenia zaufania, które umożliwiają skalowalność. Ta ewolucja wymaga odpowiedniej zmiany sposobu myślenia. Bezpieczeństwa nie można już traktować jako pozycji z listy kontrolnej, którą należy wypełnić przed wdrożeniem. Musi być ono zintegrowane z każdą warstwą systemu, stale testowane i projektowane z uwzględnieniem warunków wrogich. Protokoły, które rozpoznają tę zmianę i odpowiednio zainwestują, będą lepiej przygotowane do utrzymania zaufania użytkowników w coraz bardziej wrogim środowisku.

Wnioski

Exploit KelpDAO o wartości 293 milionów dolarów to nie tylko kolejny wpis na liście włamań DeFi. To studium przypadku, pokazujące, jak ewoluują współczesne ataki i gdzie prawdopodobnie pojawią się kolejne luki. Podstawowym problemem nie był uszkodzony kontrakt, ale kruche połączenie. W miarę jak DeFi nadal się skaluje i łączy, te połączenia stają się zarówno jego największą siłą, jak i największym ryzykiem. Lekcja jest jasna: szybkość i wydajność nie mogą odbywać się kosztem odporności. Ponieważ w dzisiejszym środowisku najniebezpieczniejsze luki nie zawsze są widoczne w kodzie – istnieją w założeniach, które za nim stoją.

Zastrzeżenie

Niniejszy artykuł ma wyłącznie charakter informacyjny i edukacyjny. Nie stanowi porady finansowej, inwestycyjnej ani handlowej. Kryptowaluty i DeFi wiążą się ze znacznym ryzykiem utraty kapitału. Zawsze przeprowadzaj własne badania i zachowaj ostrożność.