Stor DeFi-attack: $292 miljoner stulna – $10 miljarder dras ut från marknaden

Stor säkerhetslucka i KelpDAO orsakar kaos i DeFi

En omfattande säkerhetslucka i decentraliserade finansieringsplattformen KelpDAO har lett till att en hackare stulit motsvarande $292 miljoner i kryptovalutor under helgen. Incidenten har utlöst en massiv utflöde av kapital från DeFi-sektorn, där totalt $10 miljarder har dragits tillbaka från marknaden.

Attacken inleddes sent på lördagskvällen när en hackare tömde cirka 116 500 rsETH från KelpDAOs cross-chain-brygga. De stulna tokenerna hade vid tillfället ett värde på $292 miljoner, enligt uppgifter från CryptoSlate. KelpDAO tillhandahåller rsETH till användare som sätter in ETH i sitt system för likvid restaking. Plattformen för sedan vidare dessa ETH via EigenLayer för att generera ytterligare avkastning utöver standard staking.

Attacken utnyttjade brist i säkerhetskontrollen

Enligt Banteg, kärnutvecklare på Yearn Finance, utnyttjade hackaren en brist i en specifik transaktionsväg mellan Unichain och Ethereum mainnet. Genom att skicka en bedräglig transaktion som systemet accepterade som giltig, kunde hackaren frigöra förhandsfinansierade rsETH-reserver. Denna väg var konfigurerad som en decentraliserad verifieringsnod utan sekundära kontrollanter som hade kunnat stoppa transaktionen.

Den skadliga transaktionen, identifierad som nonce 308, verifierades och genomfördes klockan 17:35 UTC. Efter attacken fryste KelpDAOs nödmultisignaturplånbok protokollets kärnkontrakt, vilket blockerade ytterligare två försök som tillsammans hade kunnat ta ut ytterligare cirka $100 miljoner i rsETH.

Stulna medel spreds snabbt över flera nätverk

De initialt stulna medlen flyttades via Tornado Cash för att dölja spår, innan protokollets åtgärder kunde begränsa skadorna. De tömda reserv-backed rsETH cirkulerade sedan över sekundära nätverk, inklusive Base, Arbitrum, Linea, Blast, Mantle och Scroll. När dessa reserver tömdes uppstod osäkerhet kring inlösen och säkerhet för användare som innehade rsETH utanför Ethereum.

Aave drabbas hårdast av efterverkningarna

Den största efterverkningen drabbade Aave, den största kryptolåneplattformen, där hackaren enligt uppgifter använt de stulna rsETH som säkerhet. Under attackens gång fortsatte Aaves prissättningsorakel att visa rsETH nära sin normala nivå, vilket gjorde att protokollet kunde ge ut 106 467 ETH mot den komprometterade säkerheten. Detta resulterade i en potentiell exponering för $236 miljoner i dåliga skulder och utlöste en massiv utflyttning av kapital.

Enligt data från DeFiLlama sjönk Aaves totala värde låst (TVL) från över $26 miljarder till cirka $20 miljarder när användare drog tillbaka sina medel. Nedgången utgör en av de skarpaste utflödena på plattformen under senare tid och har omvandlat en bryggattack till en likviditetskris för DeFis största låneplattform.

On-chain-analytiker uppger att stora ETH-innehavare på plattformen accelererade utflödet. För att sätta händelsen i perspektiv kan nämnas att TRON-grundaren Justin Sun tidigare har varit en betydande aktör på plattformen.

KelpDAOs förlust är den största DeFi-attacken 2026

KelpDAOs förlust på $292 miljoner är nu den största DeFi-attacken under 2026, vilket överstiger tidigare attacker under året. Plattformen har sedan dess vidtagit åtgärder för att stärka säkerheten och förhindra liknande incidenter i framtiden.

"Denna attack visar på vikten av robusta säkerhetskontroller i decentraliserad finans. En enda brist kan få stora konsekvenser för hela ekosystemet."