Кросс-чейн мосты: почему они стали самым уязвимым звеном DeFi после взлома Kelp DAO на $293 млн

Вчерашний взлом протокола Kelp DAO на сумму $293 млн снова поставил под угрозу репутацию кросс-чейн мостов — одного из самых слабых звеньев в DeFi. По словам Ари Редборда, главы департамента политики и межгосударственных отношений TRM Labs, проблема кроется не в технических недочетах, а в самой архитектуре систем.

«Когда модель безопасности эмитента на $300 млн сводится к одному ключу валидатора, поверхность атаки перестает быть технической и становится структурной», — заявил эксперт.

Атака была проведена через подделку сообщения в системе межсетевого взаимодействия LayerZero. Злоумышленник отправил фальшивый сигнал, который убедил мост Kelp DAO в том, что средства поступили с другой блокчейна. В результате протокол выпустил 116 500 токенов rsETH — около 18% от их общего обращения.

Kelp DAO — это протокол ликвидного рестейкинга на базе Ethereum, позволяющий пользователям получать дополнительный доход от EigenLayer. При внесении токенов пользователи получают rsETH — торгуемый актив, который можно использовать в DeFi, сохраняя ликвидность. Однако из-за ошибки в конфигурации системы атака обернулась многомиллионными потерями.

Как работают кросс-чейн мосты и почему они уязвимы

Кросс-чейн мост — это программное обеспечение, соединяющее разные блокчейны (например, Ethereum и Arbitrum). При переводе токенов с одной сети на другую мост блокирует оригинальные активы и выпускает эквивалентные токены в целевой сети. Этот процесс зависит от валидаторов — доверенных узлов, подтверждающих подлинность транзакций.

В случае с Kelp DAO атака стала возможной из-за единственного валидатора, который подтверждал межсетевые сообщения. Такой подход создал единственную точку отказа: стоило злоумышленнику скомпрометировать или обмануть валидатора, как система приняла фальшивый сигнал.

По словам Редборда, последствия взлома вышли за рамки Kelp DAO. Протоколы Aave, SparkLend, Fluid и Upshift были вынуждены приостановить рынки, связанные с rsETH. Только Aave столкнулся с оттоком более $5,4 млрд в ETH, так как пользователи пытались минимизировать риски.

Меры защиты: что нужно изменить в DeFi

Эксперт подчеркивает, что текущие инциденты требуют кардинальных изменений в подходах к безопасности:

• Диверсификация валидаторов — использование нескольких независимых узлов для подтверждения транзакций;
• Мониторинг в реальном времени — отслеживание операций выпуска и сжигания токенов;
• Мультиподписные кошельки с быстрым реагированием — возможность экстренного блокирования контрактов;
• Стандартизированные протоколы реагирования на инциденты с учетом возможного распространения рисков.

«Апрель стал тяжелым месяцем для DeFi-разработчиков», — отметил Редборд.

Эксперты уверены, что без внедрения таких мер уязвимости кросс-чейн мостов будут продолжать использоваться злоумышленниками, нанося ущерб всей экосистеме.