Part 1/2:

Выжимка "Degen Hub" (101 сообщений)

🔓 LayerZero/Kelp DAO хак на $292M: когда RPC-нода врёт DVN'у

Pasha DeF (@mrPasha_k) поделился детальным разбором эксплойта. Chado (@callme_chado) объяснил механику: хакеры не ломали DVN напрямую, а скомпрометировали 2 op-geth RPC ноды, которые DVN использовал для чтения L1. Подменили бинарник, нода показывала фейк только DVN (остальным IP — правду), параллельно задидосили внешние RPC → failover на отравленные → DVN честно подписал ложь. У Kelp стоял threshold 1-of-1, поэтому одного форджнутого коммита хватило для дрейна 116,500 rsETH. Атрибуция — Lazarus/TraderTraitor. LayerZero объявил, что больше не будет подписывать сообщения от приложений с 1/1 DVN. Artur | Unigox (@skyzer4ever) жалуется, что из-за этого USDT0 бриджится 8+ часов.

подробнее

🚨 Aave Mantle в глубокой ж*пе: wrsETH freeze → USDC liquidity crunch

Alexandr (@OxProdefi) предупреждает про риск avUSD (Avant) — большой лупинг на Aave Mantle с негативной доходностью около -100% APY. Silly piggy (@sillypiggie) спрашивает про USDC-ликвидность на Mantle: в Aave там ноль доступных USDC, периодически появляется USDT. Chado (@callme_chado) разъясняет: USDC и USDT в Aave v3 — разные резервы, возврат USDT напрямую USDC-лендерам не поможет, но косвенно сигнал — лупперы разматываются. На Mantle loopers сидели в схеме "supply wrsETH/weETH, borrow USDC/USDT под плечо". 18 апреля Guardian заморозил wrsETH → позиции застряли, USDC available liquidity ушла в ноль. Коммуникация Aave провалилась: Marc Zeller первым выкинул алерт, офиц канал запоздал, паника усилилась.

подробнее

⚠️ Aave L2 haircut incoming: фейковый rsETH форджили именно там

Kelp заявил: "rsETH на Ethereum mainnet полностью обеспечен". Z (@zjreael) делает вывод: "Похоже будут L2 брить". Chado (@callme_chado) подтверждает: форджили не native rsETH на мейнете, а обёртки wrsETH через LayerZero OFT на L2 (Arbitrum/Base/Optimism/Scroll). Кто держал native Kelp rsETH на mainnet — сидит на реальном коллатерале. Кто держал wrsETH на L2 или давал WETH в Aave L2-маркеты против wrsETH — в очереди на haircut. Igor (@warpjq) говорит: Kraken, Bybit и CB уже послали Aave с предложением катить только L2, будут судиться. Позиция Aave — катить всех кроме натива, но биржи не позволят. +18% левых rsETH появилось, не хватит погасить все обёртки 1:1.

подробнее

🛡️ Как 2/2 DVN setup тоже могли сломать

Pasha DeF (@mrPasha_k) сомневается в OFT: "чисто теоретически это можно провернуть и на схеме 2/2". Chado (@callme_chado) объясняет: защита 2/2 работает только если у DVN разные источники правды И разные клиенты. Если два подписанта смотрят в один RPC-пул или одинаковый op-geth стек — атакующий получает оба коммита. Нормальная конфигурация: разные клиенты (geth + nethermind/erigon/reth), разные провайдеры, + light-client verification header'ов. OFT сам по себе не виноват, вопрос как issuer сконфигурил security stack.

подробнее

🔐 Vercel supply-chain атака через OAuth: 2026 — год защиты стеков, а не контрактов