Kradzież rsETH na $293 mln: kaskadowy kolaps w DeFi

# Kradzież rsETH za 293 mln USD: jak zhakowany most wywołał kaskadowy kolaps w DeFi

W kwietniu 2026 roku hakerski atak na cross-chain most oparty na LayerZero doprowadził do kradzieży 116 500 tokenów rsETH — równowartości prawie 293 milionów dolarów. Incydent nie ograniczył się do strat jednego protokołu: ze względu na głęboką integrację rsETH z ekosystemem zdecentralizowanych finansów konsekwencje szybko rozprzestrzeniły się na co najmniej dziewięć innych platform, w tym Aave. To wydarzenie stało się największą kradzieżą kryptowalut roku i prodemonstrowało podatność wzajemnie powiązanych protokołów DeFi.

Architektura luki: dlaczego rsETH stał się punktem krytycznym

rsETH to token restakingu od Kelp DAO, reprezentujący „przeniesiony” ETH. Użytkownicy mogą wpłacać takie aktywa jak stETH czy cbETH, otrzymując w zamian rsETH, który zachowuje dochody ze stakingu, ale jednocześnie jest płynny i może być używany w innych aplikacjach DeFi. Dzięki tej funkcjonalności rsETH zyskał szerokie zastosowanie: pojawia się w pulach płynności, jako zabezpieczenie pożyczek i w strategiach generowania dochodu.

Jednak właśnie ta uniwersalność uczyniła z rsETH systemowe ryzyko. Atak nie był skierowany w samego Kelp DAO, lecz w cross-chain most wykorzystujący infrastrukturę LayerZero do transferu aktywów między blockchainami. Napastnik wykorzystał lukę w mechanizmie weryfikacji komunikatów międzyłańcuchowych, co pozwoliło mu wygenerować fałszywe transakcje i wypłacić tokeny bez odpowiadającego im rezerwy.

Efekt domina: gdy jeden protokół ciągnie za sobą całą ekosystemę

Po kradzieży cena rsETH spadła o 20% w ciągu kilku godzin. Główny problem nie tkwił jednak w zmienności, lecz w tym, że aktywo było zintegrowane z dziesiątkami protokołów. Na przykład:

• Aave natychmiast zamroziło wszystkie rynki związane z rsETH, by zapobiec nowym wpłatom i udzielaniu kredytów pod ten aktywo.
• Liquidity pools na DEX zaczęły doświadczać dysproporcji z powodu masowych wypłat.
• Kilka automatyzowanych strategii generowania dochodu zostało ręcznie wstrzymanych przez zespoły projektów.

Według danych Cyvers co najmniej dziewięć protokołów znalazło się pod groźbą częściowej lub całkowitej niewypłacalności. Jak zaznaczył dyrektor techniczny firmy Meir Dolev, „protokoł był zaledwie trzy minuty od straty kolejnych 100 mln USD”, ale terminowe zablokowanie adresu napastnika zapobiegło dalszym stratom.

Szczegóły techniczne ataku: gdzie zawiodła ochrona?

Chociaż pełny raport z analizy przyczyn źródłowych (RCA) jeszcze nie został opublikowany, eksperci wskazują na możliwe wektory kompromitacji:

• Niewystarczająca weryfikacja źródła komunikatów w konfiguracji mostu opartego na LayerZero.
• Brak limitów czasowych lub mechanizmów multi-sig dla kluczowych operacji transferu aktywów.
• Nadmierny model zaufania między smart kontraktami różnych sieci bez dodatkowego poziomu weryfikacji.

LayerZero pozycjonuje się jako „ultralightowe” rozwiązanie do interakcji międzyłańcuchowych, ale w tym przypadku oszczędność na weryfikacjach doprowadziła do katastrofalnych skutków. To stawia ważne pytanie: jak bezpieczne są współczesne infrastruktury cross-chain przy skalowaniu?

Co najważniejsze

• Ryzyko systemowe w DeFi narasta wraz ze wzrostem kompozycji: im więcej protokołów korzysta z tego samego aktywa, tym wyższe prawdopodobieństwo efektu domina.
• Mosty cross-chain pozostają jedną z najbardziej podatnych części infrastruktury: ponad 60% wszystkich dużych kradzieży w historii DeFi wiąże się z mostami.
• Szybka reakcja zespołów może zapobiec dodatkowym stratom: w tym przypadku blacklisting adresu uratował 100 mln USD.
• Tokeny restakingu wymagają szczególnego podejścia do bezpieczeństwa, zwłaszcza przy użyciu jako zabezpieczenia.
• Integracja z zewnętrznymi systemami (np. LayerZero) wymaga niezależnego audytu, nawet jeśli główny protokół przeszedł weryfikację.

Przyszłość DeFi: lekcje po katastrofie

Po incydencie Kelp DAO wstrzymało działanie kontraktów rsETH w Ethereum Mainnet i sieciach L2. Zespół współpracuje z LayerZero, Unichain, auditorami i ekspertami ds. cyberbezpieczeństwa w celu przeprowadzenia pełnego dochodzenia.

Ten przypadek potwierdza konieczność odejścia od paradygmatu „ufaj, ale weryfikuj” na rzecz modelu „nie ufaj, weryfikuj nieustannie”. W szczególności deweloperzy powinni rozważyć:

• Wprowadzenie mechanizmów opóźnień czasowych dla dużych transferów przez mosty.
• Wykorzystanie oracli drugiego poziomu do potwierdzania stanu aktywów przed ich przeniesieniem.
• Stworzenie automatycznych wyzwalaczy do wstrzymywania integracji przy anomalnej aktywności.

DeFi nadal się rozwija, ale bez wzmocnienia dyscypliny inżynieryjnej i koordynacji międzyprotokołowej podobne incydenty będą się powtarzać — z jeszcze większymi stratami.

— Editorial Team