Exploit-ul DeFi de 293 de milioane de dolari care a expus o slăbiciune ascunsă

Pe 18 aprilie 2026, ecosistemul de finanțe descentralizate s-a confruntat cu una dintre cele mai semnificative breșe de securitate ale anului. Într-un atac extrem de coordonat, active în valoare de aproximativ 290-293 de milioane de dolari, respectiv aproximativ 116.500 rsETH, au fost sustrase din infrastructura bridge-ului KelpDAO.

La prima vedere, ar putea părea similar cu exploit-urile DeFi anterioare. Dar acest incident se deosebește printr-un motiv crucial: nu a fost cauzat de o eroare în logica unui contract inteligent. În schimb, a expus o vulnerabilitate mai profundă și mai îngrijorătoare fragilitatea infrastructurii off-chain de care depind în liniște multe protocoale. Această distincție contează. Pentru că, în timp ce contractele inteligente au devenit mai sigure de-a lungul timpului, sistemele care le înconjoară devin acum principala suprafață de atac.

Sursa : @Jeremybtc

Ce este KelpDAO?

KelpDAO este un protocol de restaking lichid, construit în principal pe Ethereum, conceput pentru a îmbunătăți eficiența capitalului pentru utilizatorii care participă la ecosistemele de staking. Prin integrări cu framework-uri de restaking precum EigenLayer, KelpDAO permite utilizatorilor să își restake-eze ETH și să primească un token derivat lichid, rsETH. Acest token poate fi apoi utilizat în întregul ecosistem DeFi pentru împrumuturi, colateralizare sau tranzacționare, permițând utilizatorilor să obțină randament, menținând în același timp lichiditatea.

Până la începutul anului 2026, rsETH devenise un activ semnificativ în peisajul restaking-ului, profund integrat în multiple protocoale DeFi. O parte cheie a acestei expansiuni s-a bazat pe funcționalitatea cross-chain, facilitată de infrastructuri precum LayerZero. Această dependență a devenit, însă, veriga cea mai slabă a protocolului.

Sursa : @kelpDao

Cronologia atacului

Exploit-ul s-a desfășurat rapid, evidențiind cât de repede pot escalada atacurile moderne. La 17:35 UTC, atacatorii au inițiat secvența prin trimiterea unui mesaj cross-chain falsificat. Mesajul indica în mod eronat că o cantitate mare de rsETH fusese arsă pe Unichain, un mediu L2 asociat cu Uniswap. Deoarece sistemul era configurat cu o singură entitate de verificare (single-verifier), mesajul a fost acceptat fără verificări de redundanță suficiente. Acest lucru a declanșat eliberarea a aproximativ 116.500 rsETH din contractele escrow bazate pe Ethereum către portofele controlate de atacatori.

În câteva minute, fondurile au dispărut. Aproximativ 46 de minute mai târziu, multisig-ul de urgență al KelpDAO a intervenit, punând protocolul pe pauză. Două tentative ulterioare de a drena încă 80.000 rsETH, în valoare de aproximativ 200 de milioane de dolari, au fost blocate cu succes datorită acestei reacții. În ciuda limitării parțiale, pagubele principale fuseseră deja produse.

Cum a funcționat atacul

Ceea ce face acest exploit deosebit de important este metoda. În loc să exploateze o eroare în codul unui contract inteligent, atacatorii au vizat stratul de infrastructură care validează comunicarea cross-chain. Atacul a implicat mai mulți pași coordonați:

1. În primul rând, nodurile RPC utilizate de rețeaua de verificare a LayerZero au fost fie compromise, fie manipulate. Acest lucru a oferit atacatorilor controlul asupra modului în care erau interpretate datele de verificare.
2. În al doilea rând, a fost lansat un atac de tip distributed denial-of-service (DDoS) împotriva nodurilor legitime. Acest lucru a forțat sistemul să se bazeze pe noduri de rezervă, dintre care unele se aflau sub influența atacatorilor. Cu acest control în vigoare, atacatorii au generat un mesaj falsificat care părea valid în cadrul modelului de încredere al sistemului.
3. În cele din urmă, datorită configurației de verificare 1-din-1 a KelpDAO, o singură aprobare a fost suficientă pentru a autoriza eliberarea fondurilor.

Această alegere de configurare, făcută probabil pentru a reduce latența și costurile, a eliminat redundanța. Iar în sistemele de securitate, lipsa redundanței este adesea echivalentă cu un singur punct de eșec.

Atribuire: Rolul grupului Lazarus

Firmele de securitate, inclusiv LayerZero și Chainalysis, au atribuit atacul cu încredere ridicată Grupului Lazarus, o organizație de hacking sponsorizată de stat, legată de Coreea de Nord. Mai precis, subgrupul cunoscut sub numele de „TraderTraitor” este considerat a fi responsabil.

Acesta nu este un incident izolat. În aceeași lună, Lazarus a fost, de asemenea, conectat la:

1. Exploit-ul protocolului Drift, care a dus la pierderi de aproximativ 285 de milioane de dolari
2. Un atac mai mic, dar similar, asupra Hyperbridge

Ceea ce iese în evidență este tiparul. Acestea nu sunt hack-uri oportuniste care exploatează vulnerabilități simple. Sunt operațiuni pe termen lung, țintite, care implică adesea luni de pregătire și multiple vectori de atac. Accentul s-a mutat clar către infrastructurile de mare valoare: bridge-uri, sisteme de restaking și protocoale cross-chain.

Impactul imediat asupra ecosistemului DeFi

Consecințele atacului au fost imediate și extinse. Token-ul rsETH și-a pierdut rapid paritatea (peg-ul), declanșând instabilitate pe platformele de împrumut. Protocoale precum Aave și altele au acționat rapid pentru a îngheța sau restricționa rsETH ca și colateral, pentru a preveni riscul sistemic. Această reacție, deși necesară, a contribuit la un șoc de lichiditate mai amplu.

În câteva zile, peste 13 miliarde de dolari în valoare totală au fost retrase de pe platformele DeFi, una dintre cele mai rapide ieșiri de capital observate în ultimii ani. Incidentul a scos în evidență o realitate cheie: DeFi-ul modern este puternic interconectat. Un eșec într-o componentă, mai ales un bridge, poate avea efecte în cascadă asupra mai multor sisteme, afectând simultan lichiditatea, stabilitatea colateralului și încrederea utilizatorilor.

Lecții pentru protocoale și utilizatori

Exploit-ul KelpDAO consolidează mai multe lecții critice pentru industrie.

1. În primul rând, redundanța nu mai este opțională. Sistemele care se bazează pe verificatori unici sau pe modele de încredere simplificate sunt în mod inerent vulnerabile. Configurațiile cu mai mulți verificatori și mecanismele de validare descentralizate ar trebui considerate cerințe de bază.
2. În al doilea rând, securitatea trebuie să se extindă dincolo de contractele inteligente. Infrastructura off-chain – nodurile RPC, oracolele și straturile de verificare – trebuie tratate cu același nivel de examinare ca și codul on-chain.
3. În al treilea rând, mecanismele de răspuns contează. Deși KelpDAO a suferit pierderi semnificative, mecanismul său rapid de pauză a prevenit daune suplimentare. Acest lucru demonstrează valoarea de a avea controale de urgență bine definite.
4. Pentru utilizatori, lecția este la fel de clară. Supraexpunerea la un singur activ sau protocol – mai ales unul dependent de o infrastructură complexă – poate amplifica riscul. Diversificarea și conștientizarea mecanismelor subiacente sunt esențiale.

Un punct de cotitură pentru securitatea DeFi

Acest atac, combinat cu alte exploit-uri de anvergură din 2026, semnalează o schimbare în modul în care DeFi trebuie să abordeze securitatea. Industria a înregistrat progrese semnificative în auditarea contractelor inteligente și verificarea formală. Dar atacatorii s-au adaptat. Ei vizează acum straturile care se află în afara blockchain-ului în sine – interfețele, canalele de comunicare și ipotezele de încredere care permit scalabilitatea. Această evoluție necesită o schimbare corespunzătoare de mentalitate. Securitatea nu mai poate fi tratată ca un element dintr-o listă de verificare finalizată înainte de implementare. Ea trebuie integrată în fiecare strat al sistemului, testată continuu și proiectată având în vedere condițiile adverse. Protocoalele care recunosc această schimbare și investesc în consecință vor fi mai bine poziționate pentru a menține încrederea utilizatorilor într-un mediu din ce în ce mai ostil.

Concluzie

Exploit-ul KelpDAO de 293 de milioane de dolari nu este doar o altă înregistrare în lista de hack-uri DeFi. Este un studiu de caz despre cum evoluează atacurile moderne și unde este probabil să apară următoarele vulnerabilități. Problema principală nu a fost un contract defect, ci o conexiune fragilă. Pe măsură ce DeFi continuă să se scaleze și să se interconecteze, aceste conexiuni devin atât cea mai mare forță, cât și cel mai mare risc al său. Lecția este clară: viteza și eficiența nu pot veni în detrimentul rezilienței. Pentru că, în mediul de astăzi, cele mai periculoase vulnerabilități nu sunt întotdeauna vizibile în cod – ele există în ipotezele din spatele acestuia.

Disclaimer

Acest articol este doar în scop informativ și educațional. Nu constituie sfaturi financiare, de investiții sau de tranzacționare. Criptomoneda și DeFi implică un risc semnificativ de pierdere. Efectuați întotdeauna propria cercetare și manifestați prudență.