Експлойт на міжланцюговому мості KelpDAO на $290 мільйонів, що стався 18 квітня та був приписаний LayerZero північнокорейській групі Lazarus, сколихнув DeFi і стер понад $13 мільярдів загальної заблокованої вартості (TVL) протоколів протягом 48 годин.
Зловмисники вивели 116 500 rsETH, вартістю приблизно $290 мільйонів, з міжланцюгового мосту KelpDAO на базі LayerZero 18 квітня, що CoinDesk назвав найбільшим експлойтом DeFi у 2026 році на сьогодні. LayerZero, чия інфраструктура лежала в основі мосту, заявив у понеділок, що "попередні показники свідчать про причетність високопрофесійного державного актора, ймовірно, північнокорейської групи Lazarus".
Атака спрацювала шляхом компрометації двох вузлів віддаленого виклику процедур (RPC), на які верифікатор LayerZero покладався для підтвердження міжланцюгових транзакцій, а потім затоплення резервних вузлів сміттєвим трафіком, щоб примусити перемикання на скомпрометовані кінцеві точки. Щойно верифікатор підписав сфабриковану транзакцію, міст випустив $290 мільйонів у rsETH на адресу, контрольовану зловмисником. Потім шкідливе програмне забезпечення самознищилося, видаливши двійкові файли та журнали, щоб ускладнити криміналістичне розслідування. Як повідомляв crypto.news, експлойт спричинив відтік понад $10 мільярдів лише з Aave, при цьому загальна заблокована вартість (TVL) протоколу кредитування впала з $45,8 мільярда до $35,7 мільярда, оскільки користувачі поспішали вийти. UPI повідомив, що протягом двох днів після злому з DeFi-платформ було стерто понад $13 мільярдів загальної заблокованої вартості.
Виникла суперечка щодо того, хто несе відповідальність за вразливість, яка уможливила атаку. LayerZero заявив, що KelpDAO обрав конфігурацію децентралізованої мережі верифікатора "1-з-1", єдину точку відмови, про яку він неодноразово попереджав, і оголосив, що більше не підписуватиме повідомлення для будь-яких застосунків, що використовують таке налаштування. KelpDAO відкинув звинувачення, заявивши CoinDesk, що його конфігурація відповідала власним задокументованим налаштуванням за замовчуванням LayerZero, і що скомпрометований валідатор був частиною власної інфраструктури LayerZero. Як документував crypto.news, незалежні дослідники безпеки, включаючи розробника Yearn Finance, виявили, що публічний код розгортання LayerZero постачається з налаштуваннями єдиного джерела верифікації за замовчуванням у всіх основних ланцюгах, підриваючи заяву фірми про те, що KelpDAO відхилився від рекомендацій.
Експлойт KelpDAO є другим великим порушенням безпеки DeFi, пов'язаним з Lazarus, лише у квітні, після атаки на Drift Protocol на $285 мільйонів 1 квітня, що довело загальний обсяг викрадених коштів групи у DeFi за місяць до понад $575 мільйонів. Відтоді зловмисник почав відмивати викрадені кошти, направляючи активи через Arbitrum та в стейблкоїни на базі Tron, як відстежував crypto.news. Jefferies попередив, що гучні злами такого масштабу можуть тимчасово сповільнити апетит Волл-стріт до проєктів токенізації, оскільки установи переоцінюють ризиби безпеки, закладені в інфраструктурі мостів DeFi. LayerZero заявив, що підтвердив відсутність зараження інших застосунків, що працюють з багатоверифікаторними конфігураціями, але примусив до загальнопротокольної міграції від налаштувань з одним валідатором.
LayerZero заявив, що співпрацює з KelpDAO, Security Alliance та правоохоронними органами для відстеження викрадених коштів, хоча використання зловмисником інструментів конфіденційності значно ускладнило зусилля з відновлення.
