Основатель Cardano предупреждает: взлом KelpDAO обнажил самое слабое звено Ethereum

Основатель Cardano Чарльз Хоскинсон использовал свой последний прямой эфир, чтобы заявить: взлом KelpDAO примерно на 292 млн $ — это не просто очередной сбой моста, а более широкое предупреждение о том, как рестейкинг Ethereum, кросс-чейн-сообщения и стек кредитования способны превратить единичную уязвимость в системное заражение.

По словам Хоскинсона, атака 18 апреля обнажила то, что он считает наиболее уязвимым местом современного DeFi: не обязательно смарт-контракты на уровне приложений, а уровни верификации и взаимозависимости между протоколами. Он заявил, что взлом, в ходе которого из эскроу KelpDAO на блокчейне Ethereum было выведено около 116 500 rsETH, должен инициировать более широкую отраслевую дискуссию о доверии к мостам, проектировании верификаторов и скорости распространения плохого обеспечения через кредитные рынки.

Основатель Cardano предупреждает об опасном изъяне в сердце Ethereum DeFi

Вместо стандартного разбора произошедшего Хоскинсон рассказал, что взял внутренние материалы отчёта об инциденте и с помощью ИИ превратил их в сайт, проводящий зрителей через механику взлома. Эта структура обрамила его главную мысль: сбой, по его описанию, начался не с ошибки в математике контракта внутри самого KelpDAO и не с очевидного изъяна в бухгалтерии LayerZero. По его словам, всё дело было в поддельном кросс-чейн-сообщении, которое было принято как легитимное и позволило вывести средства на Ethereum.

«Это не было проблемой смарт-контракта Kelp, и это не было проблемой смарт-контракта LayerZero — это была подделка кросс-чейн-сообщения», — сказал Хоскинсон. «Это было что-то новое и иное».

Основатель Cardano неоднократно возвращался к одному конкретному проектному решению: сообщаемому использованию конфигурации верификатора «один из одного». По его объяснению, лучшей практикой была бы модель с несколькими верификаторами, например три из пяти, однако конфигурация KelpDAO опиралась на единственный активный DVN. По его словам, это создало недопустимую единую точку отказа в системе, уже перегруженной обёртками стейкинга, протоколами рестейкинга, мостами и кредитными платформами.

«Сбой был в логике верификации, а не в логике приложения», — сказал он. «Kelp сделал всё правильно со стороны своих контрактов. Они прошли аудит. Они работают хорошо. Приложение работает хорошо. Проблема в конфигурации моста». Хоскинсон также подчеркнул, что в отрасли до сих пор нет единого мнения о том, где именно лежит ответственность.

По его резюме, после взлома появились три отдельных анализа первопричин: один от LayerZero, один от KelpDAO и один, связанный с обсуждениями LlamaRisk и управления Aave, — однако ни один из них не совпадает полностью с другими. Это оставляет открытым вопрос: произошёл ли сбой на уровне передачи сообщений, в конфигурации верификатора, в логике принятия KelpDAO или на стыках между ними.

Особую значимость события, по его мнению, определило не только само хищение, но и то, что произошло дальше. Вместо того чтобы сбросить похищенные rsETH на децентрализованных биржах, злоумышленник предположительно использовал их в качестве залога на кредитных рынках для заимствования более ликвидных активов. Это превратило взлом в проблему баланса для других протоколов, оставив после себя то, что Хоскинсон назвал «отравленным залогом».

Он назвал эту динамику подлинной новизной инцидента. «Это был не просто взлом моста. Он распространился на кредитование, что создало заражение плохими долгами внутри этих кредитных протоколов. Это спровоцировало банковский кризис, и мы увидели, как 13 млрд $ TVL было выведено за очень короткий период из-за взлома на 290 млн $».

Основатель Cardano заявил, что более широкий шок ликвидности DeFi вышел далеко за пределы самого KelpDAO. Ссылаясь на публичные материалы из своего обзора, он указал как минимум на девять напрямую пострадавших протоколов и сообщил, что только Aave понёс убытки от 6,6 млрд $ до 8,45 млрд $, тогда как rsETH торговался в волатильном диапазоне примерно от 1 600 $ до 2 500 $ в течение 24 часов после атаки.

Он также допустил возможность причастности Lazarus, хотя и признал, что атрибуция остаётся неподтверждённой. «Здесь много свидетельств связей с Lazarus», — сказал он, добавив, что ни одна независимая криминалистическая компания не доказала это окончательно.

На момент публикации Cardano (ADA) торговался по 0,2504 $.