Щойно я розбирався з тим, що трапилося з Kelp DAO тиждень тому, і чесно кажучи, це одна з найжорстокіших історій DeFi за весь 2026 рік. За 46 хвилин з екосистеми зникло 293 мільйони доларів. Не помилка коду, не вразливість смарт-контракту — звичайна помилка конфігурації, яка стала системним кризисом.

Ось що сталося: зловмисник використав крос-чейн міст Kelp на LayerZero з конфігурацією DVN 1 з 1. По суті, вся валідація повідомлень між ланцюгами залежала від одного вузла. Зламавши або обдуривши цей вузол, атакуючий надіслав підроблене повідомлення, нібито підтверджуюче блокування активів. Міст випустив 116 500 rsETH (приблизно 18% всього обігового пропозиції) на адресу зловмисника — без блокування реального ETH на вихідному ланцюгу. Токени буквально створені з повітря.

Далі було ще гірше. Замість того щоб зливати токени на ринок, атакуючий депонув необеспечену rsETH у Aave V3 як заставу, позичив 236 мільйонів доларів реального WETH, потім повторив маневр на Aave V4. До того часу, коли Kelp DAO заморозила контракти (18:21 UTC), реальні активи вже йшли. Дві спроби зливати ще по 100 млн — обидві заблоковані, але перший удар вже спричинив каскад у DeFi.

Aave опинилася у пастці. Коли Kelp приостановила rsETH, всі позиції по позиках, забезпечені цим активом, стали неможливими для ліквідації. Aave залишилася з 196 мільйонами доларів безнадійного боргу. Пул WETH досяг 100% використання — деякі користувачі тимчасово не могли вивести свої кошти. Паніка поширилася миттєво: виведення коштів з Aave склало 5,4 мільярда доларів за кілька годин. TVL впав з понад 26 мільярдів до 22 мільярдів — втрата 6,6 мільярдів за день. Токен AAVE впав на 20% за 24 години (зараз торгується близько $95.54).

Найстрашніше — це не була помилка LayerZero. Це був вибір Kelp DAO використовувати централізовану конфігурацію, яку протокол дозволяє, але яка створює небезпечну єдину точку відмови. Засновник Curve Finance Михайло Єгоров прямо сказав: коли ви довіряєте одній стороні, можливо все.

Зараження поширилося щонайменше на дев’ять платформ: SparkLend, Fluid, Lido (зупинила свій продукт EarnETH), Compound V3, Euler та інші. Навіть Ethena тимчасово зупинила свої LayerZero мости як запобіжний захід, хоча прямого впливу не було.

Гроші? Майже напевно втрачені. Зловмисник вже відмив кошти через Tornado Cash, розподіливши ETH по кількох гаманцях. Джастін Сан з Tron запропонував «поговорити» з атакуючим, але це виглядає як театр — слід уже охолонув.

Що це означає для галузі? rsETH вважалася довіреним активом, корельованим з ETH. Неявне припущення: ліквідні токени стейкінгу такі ж безпечні, як базовий актив. Це припущення обвалилося. Kelp DAO залишається з активом, який не може бути справді проданий, а Aave — з максимально заімствованим ETH, який ніхто не може вивести.

Очікується, що індустрія відповість обов’язковими вимогами до множинних DVN для мостів і більш строгими стандартами для кредитних протоколів. Але до тих пір rsETH у 20+ ланцюгах залишається у стані невизначеної підтримки, поки Kelp не опублікує перевірену звірку резервів.

Це не перший великий злом цього року. У березні Resolv Labs втратила 80 млн, 1 квітня Drift Protocol — 285 млн (згодом пов’язано з північнокорейськими акторами). CoW Swap, Zerion, Rhea Finance — все у квітні. Загальні втрати DeFi у 2026 році вже перевищують 450 мільйонів доларів по приблизно 45 протоколах. Глава безпеки Ledger каже, що це «скоріше за все, буде найгіршим роком для зломів».

Для інвесторів головний урок: композабельність DeFi ріже обидві сторони. Те, що робить екосистему потужною — взаємозв’язки — також робить її найшвидшим каналом зараження. Уразливість у одному протоколі стає системною подією за хвилини. Якщо ви тримаєте rsETH або позиції у кредитних протоколах, уважно слідкуйте за офіційними оголошеннями. Уникайте панічних рішень на неповній інформації, але й не ігноруйте ризик ліквідності навіть на «безпечних» платформах.

Це жорстке нагадування: у DeFi довіра — це не лише технологія, це архітектура. І архітектура Kelp DAO виявилася вразливою не через код, а через вибір конфігурації.