- Un hacker ha eseguito una transazione che ha sottratto 292 milioni di dollari da KelpDAO.
- Ulteriori tentativi di drenare altri 100 milioni di dollari sono stati bloccati da una pausa del protocollo.
- Aave V3 potrebbe subire un'esposizione al cattivo debito fino a 177 milioni di dollari come conseguenza.
Un hacker ha finanziato il suo wallet attraverso Tornado Cash sabato, ha aspettato 10 ore e poi ha eseguito una transazione che ha sottratto 292 milioni di dollari da KelpDAO.
Quando qualcuno se ne è accorto, i soldi erano già andati. E quando KelpDAO ha sospeso le operazioni, altri due tentativi erano falliti nel giro di minuti.
L'hacker di KelpDAO voleva drenare $391 milioni
Il wallet che ha eseguito l'attacco è stato finanziato attraverso il pool da 1 ETH di Tornado Cash. Questo è un passaggio standard di offuscamento che ha seminato l'indirizzo con denaro gas pulito.
Il wallet ha chiamato lzReceive sul contratto EndpointV2 di LayerZero, e il bridge OFT di KelpDAO ha rilasciato 116.500 rsETH a un indirizzo attaccante separato. Il drenaggio è stato completato in una singola transazione.
Ciò che è seguito ha mostrato quanto fossero stretti i margini. L'attaccante è tornato due volte. Altri due pacchetti LayerZero hanno colpito il bridge, ciascuno mirato a 40.000 rsETH, per un valore combinato di circa 100 milioni di dollari. Entrambi sono stati annullati.
Cinque minuti prima, il multisig di pausa di emergenza di Kelp ha eseguito pauseAll. La chiamata ha congelato il LRT Deposit Pool, il contratto di Prelievo, il LRT Oracle e anche il token rsETH. L'intervallo tra il drenaggio riuscito e la pausa è stato di 46 minuti. E l'intervallo tra la pausa e il prossimo tentativo di attacco è stato di cinque minuti.
La perdita totale di KelpDAO sarebbe stata di circa 391 milioni di dollari se i secondi e terzi tentativi dell'attaccante fossero riusciti.
L'attaccante innesca un cattivo debito su Aave
I 116.500 token rsETH valevano circa 292 milioni di dollari ai prezzi attuali. L'importo rappresenta circa il 18% dell'offerta circolante di rsETH di circa 630.000.
rsETH è un token di liquid restaking costruito su EigenLayer ed è distribuito su oltre 20 reti, tra cui Base, Arbitrum, Linea, Blast, Mantle e Scroll.
L'attaccante non ha semplicemente detenuto i token rsETH rubati. Secondo i dati on-chain, i token sono stati depositati in Aave V3 come garanzia per prendere in prestito grandi quantità di Ether e Ether Wrappato. I fondi sono stati instradati di nuovo attraverso Tornado Cash per oscurare le tracce.
Questo passo ha trasformato un exploit del bridge in un potenziale problema di cattivo debito per Aave, una delle più grandi piattaforme di prestito di DeFi. Aave V3 potrebbe affrontare fino a 177 milioni di dollari di esposizione al cattivo debito come risultato.
L'investigatore blockchain ZachXBT ha segnalato l'incidente su Telegram entro un'ora. "KelpDAO sembra aver subito il furto di oltre 280 milioni di dollari un'ora fa su Ethereum e Arbitrum", ha scritto, confermando che i wallet dell'hacker erano finanziati tramite Tornado Cash.
La prima dichiarazione pubblica di Kelp è arrivata su X, più di due ore e mezza dopo il drenaggio. "Iniziato oggi abbiamo identificato attività transfrontaliere sospette che coinvolgono rsETH", ha scritto il protocollo. "Abbiamo sospeso i contratti rsETH su mainnet e su diverse L2 mentre indagiamo. Stiamo lavorando con LayerZero, Unichain, i nostri revisori e i principali esperti di sicurezza sulla RCA."
Aave ha congelato tutti i mercati rsETH sia su Aave V3 che V4. Il protocollo ha confermato su X che la vulnerabilità era in rsETH, non nei contratti di Aave. "Stiamo rivedendo le informazioni sui prestiti rsETH su Aave verificatisi dopo l'exploit e condivideremo maggiori dettagli il prima possibile", ha scritto Aave. Il team di Aave sta anche esplorando modi per coprire le perdite.
Aave è sceso del 10,65% nella giornata a 103,86 dollari. Ethereum è sceso di circa il 3% e attualmente scambia a 2.358,24 dollari.
L'attacco a KeplerDAO è avvenuto anche meno di due settimane dopo un exploit da 286 milioni di dollari al Drift Protocol, il più grande furto di criptovalute del 2026 finora. Secondo un rapporto di Cryptopolitan, l'exploit del Drift Protocol è collegato allo stesso gruppo che ha rubato 1,4 miliardi di dollari da Bybit.
KelpDAO detiene ora il primo posto nella lista dei più grandi hack di criptovalute del 2026.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
