#взлом
⚠️Протокол Kelp DAO подвергся крупному взлому: злоумышленник вывел 116 500 rsETH (примерно $280–293 млн) - link

Атака прошла через мост LayerZero (OFT-контракт): хакер вызвал функцию lzReceive и заранее подготовил кошелёк через Tornado Cash. Почти все средства он быстро конвертировал в ETH и wETH через Aave, пока в течение ~46 минут не было реакции со стороны команды.

После этого KelpDAO остановил ключевые контракты, а две последующие попытки эксплойта удалось заблокировать.

Что по последствиям:
— рынки rsETH заморожены в Aave V3/V4, а также в ряде других протоколов
— сам Aave не взломан, ограничения введены как защитная мера
— из Aave начался массовый отток ликвидности: выведено уже более $5.4–6 млрд
— загрузка ETH в протоколе достигла 100%
— обёрнутый rsETH в более чем 20 L2-сетях (Base, Arbitrum, Linea и др.) остался без обеспечения

Отдельно:
— Джастин Сан вывел 65 584 ETH (~$154 млн) и публично предложил хакеру договориться
— злоумышленник пытался дополнительно украсть ещё ~80 000 rsETH, но безуспешно (потенциальный ущерб мог превысить $400 млн)
— интеграции LayerZero начали массово отключать, сам протокол критиковали за медленную реакцию (~10 часов тишины)

На фоне ситуации команды KelpDAO и LayerZero готовят подробный публичный отчёт (post-mortem).

@bison_crypto