Новый взлом на $300М

Вчера вечером взломали протокол KelpDAO. Хакер вывел 116 500 $rsETH (~$292M) через OFT-бридж Kelp DAO на LayerZero — это около 18% всего циркулирующего объёма $rsETH и крупнейший DeFi-эксплойт 2026 года.

Почему это произошло?
Протокол использовал всего 1 из 1 подтверждений для мультисига, то есть достаточно только одной подписи. Протоколы с миллиардными TVL в основном используют 3 и больше подписей для подтверждений.

При чем здесь AAVE?
Украденный $rsETH хакер положил на Aave V3 как залог и занял под него $WETH. Залог по факту уже ничем не обеспечен так, что на Aave повис плохой долг на сумму до $200M. Aave, SparkLend, Fluid и другие протоколы в срочном порядке заморозили маркеты $rsETH.

Последствия:
• AAVE в состоянии плохого долга, который если придется покрыть за счет стейкеров $WETH, они могут получить убыток до 70%. Возможно это будет первое использование модуля безопастности Aave Umbrella.
• Меньше чем за сутки TVL AAVE уменьшился на $4В+.
• Так как обертка $rsETH доступна в 20+ сетях и обеспечения в данный момент не хватает, то все обертки в других сетях депегнулись.
• Aave, SparkLend, Fluid и другие протоколы в срочном порядке заморозили маркеты $rsETH.
• Токены $KERNEL, $AAVE, $ZRO упали в цене.

Событие очень масштабное для всего DeFi сектора. Даже Джастин Сан попытался выйти на связь с хакером и договорится. Проблема здесь была не в безопасности Kelp и даже не в самом LayerZero, а в том, что было подделано сообщение для подписи.