Οι απώλειες στο DeFi ξεπερνούν τα 600 εκατ. δολάρια, καθώς το exploit στο Kelp DAO ωθεί το TVL σε χαμηλό έτους
Το exploit στο Kelp DAO στις 18 Απριλίου 2026, κατά το οποίο επιτιθέμενοι εξέδωσαν (minted) 116.500 rsETH χωρίς αντίκρισμα «δηλητηριάζοντας» έναν μεμονωμένο κόμβο επαλήθευσης LayerZero, προκάλεσε απώλειες άνω των 600 εκατομμυρίων δολαρίων στον τομέα του DeFi τις τελευταίες εβδομάδες, με τη συνολική ζημιά σε διάφορα πρωτόκολλα να προσεγγίζει το 1 δισεκατομμύριο δολάρια.
Η δευτερογενής επίδραση είναι πλέον ορατή στην αλυσίδα (on-chain): η συνολική αξία που είναι κλειδωμένη (TVL) στο DeFi έχει καταρρεύσει στο χαμηλότερο σημείο των τελευταίων δώδεκα μηνών, σύμφωνα με τα δεδομένα του DefiLlama, καθώς η φυγή κεφαλαίων επιταχύνεται σε πρωτόκολλα restaking, δανεισμού και διαλειτουργικών γεφυρών (cross-chain bridges).
Το βασικό ερώτημα που εγείρεται δεν είναι αν το Kelp DAO απέτυχε —απέτυχε αρχιτεκτονικά. Το ερώτημα είναι αν ένας μεμονωμένος, εσφαλμένα ρυθμισμένος επαληθευτής (verifier) μόλις αποκάλυψε μια συστημική ευθραυστότητα που διατρέχει ολόκληρη τη στοίβα του cross-chain DeFi.
- Συνολικές απώλειες DeFi: Περίπου 1 δισεκατομμύριο δολάρια τις τελευταίες εβδομάδες, με πάνω από 600 εκατ. δολάρια να αποδίδονται άμεσα στο exploit του Kelp DAO και τις επιπτώσεις μετάδοσης.
- Κλίμακα exploit Kelp DAO: Εκδόθηκαν 116.500 rsETH χωρίς αντίκρισμα – περίπου το 18% της κυκλοφορούσας προσφοράς – μέσω παραβιασμένου κόμβου LayerZero DVN· δεν υπήρξε παραβίαση έξυπνου συμβολαίου (smart contract).
- Επίπτωση στο TVL: Η συνολική κλειδωμένη αξία στο DeFi βρίσκεται σε χαμηλό έτους μετά από έξοδο 13 δισεκατομμυρίων δολαρίων εντός 48 ωρών από το exploit.
- Πρωτόκολλα που επηρεάστηκαν: Τα Aave, SparkLend και Fluid πάγωσαν τις αγορές rsETH· το TVL του Aave μειώθηκε από 26,4 δισ. δολάρια σε περίπου 18 δισ. δολάρια – η μεγαλύτερη απώλεια σε μεμονωμένο πρωτόκολλο.
- Απόδοση ευθυνών: Το LayerZero κατονόμασε το Lazarus Group της Βόρειας Κορέας – και συγκεκριμένα την υπομονάδα TraderTraitor – ως τον πιθανό δράστη· δεν έχει επιβεβαιωθεί ακόμη επίσημα.
- Σημεία παρακολούθησης: Η επικείμενη ιατροδικαστική αναφορά (forensic report) του Kelp DAO και η επίλυση των επισφαλών χρεών του Aave σχετικά με τα μολυσμένα εξασφαλίσεις rsETH είναι τα δύο σήματα που θα καθορίσουν εάν η μετάδοση θα σταθεροποιηθεί ή θα επιδεινωθεί.
Ανακαλύψτε: Τα καλύτερα κρυπτονομίσματα για να διαφοροποιήσετε το χαρτοφυλάκιό σας
Πώς ένας μεμονωμένος κόμβος επαλήθευσης κατέρριψε 600 εκατ. δολάρια στο DeFi
Η αποτυχία ήταν αρχιτεκτονική, όχι θεμελιώδης, και αυτή η διάκριση έχει σημασία για το πώς αξιολογείται η υπόλοιπη cross-chain υποδομή του DeFi. Η γέφυρα rsETH του Kelp DAO βασιζόταν σε έναν μεμονωμένο κόμβο Αποκεντρωμένου Δικτύου Επαλήθευσης (DVN) για τον έλεγχο ταυτότητας των μηνυμάτων LayerZero, μια διαμόρφωση «1-of-1» την οποία η εταιρεία ασφαλείας Halborn είχε επισημάνει σε προηγούμενες προειδοποιήσεις.
Οι επιτιθέμενοι, οι οποίοι ταυτοποιήθηκαν από το LayerZero ως η υποομάδα TraderTraitor του Lazarus Group, παραβίασαν δύο κόμβους RPC που τροφοδοτούσαν με δεδομένα αυτόν τον επαληθευτή, εξαπέλυσαν επιθέσεις DDoS εναντίον εφεδρικών κόμβων για να αναγκάσουν τη μετάπτωση (failover) και στη συνέχεια εισήγαγαν ένα δόλιο μήνυμα που εξέδωσε 116.500 rsETH χωρίς καμία υποκείμενη εξασφάλιση.
Τα κλεμμένα rsETH μετακινήθηκαν γρήγορα. Τα δεδομένα on-chain δείχνουν ότι ο επιτιθέμενος τα αντάλλαξε με ETH και Arbitrum χρησιμοποιώντας δάνεια στα Aave, SparkLend και Fluid, με το Tornado Cash να χρησιμοποιείται για την απόκρυψη των τελών συναλλαγής (gas fees). Κακόβουλο λογισμικό αυτοδιαγράφηκε από τα παραβιασμένα RPC μετά την επίθεση, σβήνοντας σκόπιμα τα ιατροδικαστικά αρχεία καταγραφής. Για περισσότερα σχετικά με το πώς η έρευνα του LayerZero απέδωσε την επίθεση, οι μηχανισμοί της αλληλουχίας δηλητηρίασης των RPC τεκμηριώνονται λεπτομερώς.
Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.
We are working with @LayerZero_Core, @unichain, our auditors and top security experts on RCA.
We will keep you…
— Kelp (@KelpDAO) April 18, 2026
Οι απώλειες συσσωρεύτηκαν γρήγορα. Τα 116.500 εκδοθέντα rsETH δημιούργησαν επισφαλή χρέη σε αγορές δανεισμού που είχαν αποδεχθεί το rsETH ως εγγύηση χωρίς επαρκή επαλήθευση της κάλυψής του, ένας «θάλαμος αντήχησης» για πλαστά μηνύματα, όπως το περιέγραψε η Halborn. Η Allium, αναλύοντας το κενό επαλήθευσης μετά το συμβάν, σημείωσε ότι «τα εργαλεία λειτούργησαν όπως σχεδιάστηκαν. Ο τρόπος που διαμορφώθηκαν όχι.»
Αυτό δεν είναι μια δευτερεύουσα λεπτομέρεια: σημαίνει ότι το exploit δεν απαιτούσε καμία ευπάθεια zero-day, παρά μόνο μια εσφαλμένη ρύθμιση για την οποία υπήρχε τεκμηρίωση και προειδοποίηση εκ των προτέρων.
Οι αρχιτεκτονικές επαληθευτών με μεμονωμένο σημείο αποτυχίας (single-point-of-failure) αποτελούν πλέον μια καταγεγραμμένη επιφάνεια επίθεσης και το Kelp DAO δεν θα είναι το τελευταίο πρωτόκολλο που τις χρησιμοποιεί.
TVL σε χαμηλό έτους: Τι σηματοδοτούν πραγματικά τα δεδομένα φυγής κεφαλαίων
Το συνολικό TVL του DeFi είχε ήδη αρχίσει να συρρικνώνεται κατά το πρώτο τρίμηνο του 2026 υπό μακροοικονομικές πιέσεις, αλλά το exploit του Kelp DAO επιτάχυνε την πτώση σε μια κατακόρυφη βουτιά.
Τα δεδομένα του DefiLlama δείχνουν μια φυγή TVL ύψους 13 δισεκατομμυρίων δολαρίων εντός των 48 ωρών μετά την επίθεση της 18ης Απριλίου, ένας ρυθμός που αιφνιδίασε πρωτόκολλα όπως το Compound, τα οποία δεν είχαν άμεση έκθεση στο rsETH, αλλά υπέστησαν αναλήψεις λόγω της γενικότερης ανασφάλειας.
Οι αριθμοί των απωλειών σε μεμονωμένα πρωτόκολλα είναι ακόμα πιο έντονοι. Το TVL του Aave κατέρρευσε από τα 26,4 δισεκατομμύρια δολάρια σε περίπου 18 δισεκατομμύρια δολάρια αφότου το πρωτόκολλο πάγωσε τις αγορές rsETH, μια πτώση 8,45 δισεκατομμυρίων δολαρίων που οδηγήθηκε από χρήστες που μείωσαν το ρίσκο τους ενόψει πιθανής κρυσταλλοποίησης επισφαλών χρεών από «μολυσμένες» θέσεις εξασφαλίσεων.
Η ομάδα κινδύνου του Aave μοντελοποιεί τώρα δύο σενάρια επισφαλών χρεών, ανάλογα με τα ποσοστά ανάκτησης για τα rsETH χωρίς αντίκρισμα που χρησιμοποιήθηκαν ως εγγύηση δανείου πριν παγώσουν οι αγορές.
Η συμπίεση του TVL δημιουργεί δύο διακριτά μελλοντικά σενάρια. Εάν οι εκροές σταθεροποιηθούν και το Kelp δημοσιεύσει μια αξιόπιστη ιατροδικαστική αναφορά με μηχανισμό αποζημίωσης, το τρέχον επίπεδο μπορεί να αποδειχθεί μια εντοπισμένη μετάδοση, επώδυνη αλλά περιορισμένη. Εάν η μοντελοποίηση επισφαλών χρεών του Aave αναδείξει σημαντικές απώλειες και το χρονοδιάγραμμα αναβάθμισης multi-DVN του LayerZero επεκταθεί πέραν του δευτέρου τριμήνου, αναμένεται ένα δεύτερο κύμα πτώσης του TVL, καθώς οι αναζητητές αποδόσεων θα αποχωρήσουν πλήρως από τα πρωτόκολλα restaking προς λιγότερο διασυνδεδεμένες εναλλακτικές λύσεις.
Οι αποτιμήσεις των governance tokens ήδη προεξοφλούν το πρώτο σενάριο ως αισιόδοξο, με το AAVE να έχει χάσει πάνω από 20% από το exploit, και η θεωρία ανάκαμψης εξαρτάται εξ ολοκλήρου από το αν το Aave μπορεί να κλείσει την έκθεσή του στο rsETH χωρίς προβλήματα.
Ανακαλύψτε: Οι καλύτερες πωλήσεις token πριν από την κυκλοφορία
