Те, що починалося як експлойт Kelp DAO, більше не є просто історією про міст, а стало криптореферендумом щодо того, як DeFi справляється з безпекою, контагіозністю та підзвітністю.

Негайні збитки вже були значними. Експлойт на суму близько 292 мільйонів доларів торкнувся мосту rsETH Kelp DAO, викликав побоювання щодо безнадійних боргів у Aave і спровокував новий виток звинувачень між протоколами та постачальниками інфраструктури.

Реакція ринку була жорстокою. Ончейн-аналітики Lookonchain повідомили, що загальна заблокована вартість Aave впала майже на 8 мільярдів доларів після того, як зловмисник використав вкрадені активи, пов’язані з Kelp DAO, як заставу, залишивши близько 195 мільйонів доларів безнадійних боргів.

Дані The Block тепер показують, що TVL Aave зазнала значного падіння протягом 48 годин, оскільки кошти переміщувалися в інші місця, включно зі Spark.

Розгорнути графік

The Block пізніше повідомив, що Aave змоделювала два можливі сценарії безнадійних боргів, пов’язані з наслідками.

Тим часом, кошти, викрадені під час експлойту, почали рухатися між блокчейнами після того, як Arbitrum заморозив велику частину пов’язаних ETH.

Дебати щодо безпеки DeFi

Гостре питання, яке зараз обговорюється в галузі, стосується не того, чи працює DeFi досі, а того, які ризики вона все ще толерує у 2026 році.

Засновник Curve Майкл Єгоров висловився гранично відверто. "Що за чортівня? Ми що, індустрія клоунів?" — написав він на X, стверджуючи, що нещодавні збої, пов'язані з централізованими точками відмови, шкодять галузі, яка все ще заявляє, що будує майбутнє фінансів.

Його ширша думка знаходить відгук. Злом Kelp торкнувся не одного протоколу, а поширився через композиційність.

Єдиний збій мосту перетворився на багатопротокольний ризик застави. Ризик застави перетворився на стрес кредитування. Стрес кредитування перетворився на зняття коштів. У DeFi код може бути модульним, але паніка є спільною.

Веньчжао Дун, блокчейн-аналітик CertiK, повідомив The Block, що проблема не в тому, що DeFi за своєю суттю зламана. Швидше, справа в тому, що занадто багато команд досі ставляться до безпеки як до накладних витрат.

"Протоколи, які переживуть наступний цикл, будуть тими, хто розглядає безпеку так само, як TradFi розглядає ризик контрагента — як вирішальний фактор, а не як щось другорядне", — сказав Дун.

Брайан Транзо, директор з розвитку в Succinct Labs, висловив схожу думку. Він сказав, що мости більше не повинні покладатися на моделі валідаторів, що сильно залежать від довіри, коли існують системи, засновані на доказах.

За його словами, експлойт Kelp був збоєм на рівні верифікації мосту, а не типовою помилкою смарт-контракту, і це показало, наскільки небезпечними залишаються припущення про єдиного підписувача.

"На даному етапі, якщо ваша модель довіри менша за ZK, ви проявляєте грубу недбалість. Можливо, навіть безрозсудну", — сказав Транзо The Block.

Інші посилили критику.

Сергій Кунц, співзасновник 1inch, сказав, що цей епізод викрив, наскільки крихкою може стати модель спільного пулу, коли один поганий актив призводить до повного використання та фактично блокує кошти користувачів. Метью Піннок, COO Altura DeFi, додав, що швидкість зняття коштів показала, як швидко може розсіюватися довіра, коли припущення щодо застави руйнуються.

Оптимістичний погляд

Проте не всі стали більш песимістичними.

Експерт з безпеки Metamask Тейлор Монахан назвав екстрене заморожування Arbitrum викрадених ETH ознакою того, що "DeFi, чорт забирай, перемагає", похваливши координацію, яка знадобилася для запобігання подальшій шкоді.

Хасіб Куреші з Dragonfly сказав, що DeFi завжди вчилася на невдачах, порівнюючи поточний момент з попередніми кризами, такими як Terra, збої аукціонів у березні 2020 року та депег stETH. Ерік Вурхіс навів схожий аргумент з перших принципів: у криптоіндустрії, стверджував він, невдачі залишаються близькими до джерела замість того, щоб соціалізуватися в суспільстві, як це часто буває у традиційних фінансах.

Дещо інший погляд запропонував Ніл Мей, CEO defi.com. Розмовляючи з The Block, Мей припустив, що слабкість DeFi полягає не лише в технічних аспектах, але й в досвіді користувачів. Від користувачів все ще очікується, що вони розумітимуть занадто багато, надто ризикуватимуть і занадто погано відновлюватимуться, коли щось йде не так.

"Людям потрібно розуміти, що вони підписують, обмежувати те, що вони розкривають, і мати чіткий шлях відновлення у разі виникнення проблем. Це просто рівень підприємства, якого сьогодні бракує в DeFi", — сказав Мей. "Продукти, які завоюють довіру масового ринку, будуть тими, що роблять безпеку невидимою, а не тими, що просять користувачів бути власною командою безпеки.""

Для декого це може бути найважливішим висновком з інциденту Kelp.

Експлойт відродив давню суперечку DeFi щодо децентралізації проти зручності, але також загострив новішу: безпека більше не обмежується власними контрактами протоколу.

Ринок кредитування може бути здоровим сам по собі і все одно постраждати від мосту вище за течією.

Міст може називати себе децентралізованим і все одно залежати від однієї слабкої ланки.

Екстрене заморожування може врятувати кошти і все одно знову поставити незручні питання щодо управління та втручання.

Противник рівня національної держави

Лукас Шор, президент Safe Ecosystem Foundation, повідомив The Block, що більший шаблон має більше значення, ніж гра в звинувачення щодо того, хто зрештою заповнить прогалину Aave.

Особи, пов'язані з Lazarus, за його словами, прискорили темп атак цього місяця, тоді як ШІ починає посилювати ризики розвідки та соціальної інженерії.

На думку Шора, індустрія DeFi стикається з противником рівня національної держави, чий захист все ще побудований для більш м'якої епохи.

"Зараз зрозуміло, що навіть найавторитетніші протоколи DeFi є мішенню", — сказав він The Block. "Кібербезпека завжди була грою в кішки-мишки. Але зараз очевидно, що ми, як галузь, маємо посилити наш захист. В іншому випадку довіра до DeFi буде дуже швидко і безповоротно підірвана.""

Він припустив, що саме тому цифри мають значення, окрім заголовків. The Block повідомив на початку цього тижня, що збитки DeFi вже перевищили 600 мільйонів доларів лише за кілька тижнів. Додайте сюди експлойт Drift на суму близько 285 мільйонів доларів та переглянуту оцінку збитків Hyperbridge у 2,5 мільйона доларів, і квітень формується як ще один місяць, який змушує сектор відповідати на складні питання щодо припущень про довіру та операційної дисципліни.