#KelpDAOBridgeHacked

اختراق جسر KelpDAO - 18 أبريل 2026: ما حدث والحالة الحالية

في 18 أبريل 2026، تعرض بروتوكول KelpDAO، وهو بروتوكول إعادة استثمار سائل، لأحد أكبر عمليات الاختراق في التمويل اللامركزي لهذا العام عندما تم اختراق جسره عبر السلسلة. تمكن المهاجم من سحب حوالي 116,500 رمز rsETH، بقيمة تقريبية تبلغ $292 مليون في وقت الحادث. ويعد هذا أكبر اختراق للعملات المشفرة في عام 2026 حتى الآن، متفوقًا على استغلال بروتوكول Drift الذي حدث في أبريل السابق.

كيفية حدوث الاختراق

استغل الهجوم ثغرة حرجة في بنية جسر KelpDAO المدعوم من LayerZero. أرسل المهاجم رسالة عبر السلسلة مزورة إلى موصل OFT الخاص بـ KelpDAO على شبكة إيثريوم الرئيسية، زاعمًا أنها من Unichain بشكل زائف. السبب الجذري كان تكوين خاطئ شديد في إعداد أمان الجسر. كان قد نفذ KelpDAO شبكة Verifier اللامركزية DVN (1-of-1)، معتمدًا على مو verifier واحد من LayerZero Labs بدون أي تكرار أو مو verifier ثانوي اختياري. سمح هذا النهج الأمني البسيط للرسالة المزورة بالمرور من خلال التحقق دون تحد، مما أدى إلى إطلاق خزنة الجسر لرموز rsETH غير المدعومة إلى محفظة المهاجم.

من المهم ملاحظة أن هذا لم يكن خطأ في بروتوكول LayerZero نفسه. تم تصميم LayerZero V2 ليكون نمطيًا، مما يتيح للمشاريع اختيار مجموعة verifier الخاصة بها. اختارت KelpDAO أقل إعداد أمني ممكن، وهو ما ثبت أنه كارثي.

خطة المهاجمين في التمويل اللامركزي

بمجرد أن حصل المهاجم على rsETH غير المدعوم، قام على الفور باستخدامه كضمان عبر عدة بروتوكولات DeFi لاستخراج أقصى قيمة. على أسواق Aave V3 وV4 عبر إيثريوم وأربيتروم، اقترض المهاجم حوالي 52,834 WETH على إيثريوم و29,782 WETH بالإضافة إلى 821 wstETH على أربيتروم. لوحظ نشاط اقتراض إضافي على بروتوكولات Compound وEuler، مما رفع إجمالي القيمة المستخرجة إلى أكثر من $200 مليون. تم غسيل الأموال المسروقة لاحقًا عبر Tornado Cash.

الاستجابة الفورية والسيطرة على الضرر

اكتشفت KelpDAO الاختراق خلال حوالي ساعة واحدة، بفضل المراقبة على السلسلة من قبل باحثي الأمان بما في ذلك ZachXBT. أوقفت البروتوكول على الفور الجسور على إيثريوم وسلاسل أخرى مدعومة، ونجحت في حظر محاولتين هجوميتين تاليتين. أصدرت KelpDAO بيانًا عامًا يشير إلى استعدادها للتفاوض مع المهاجم بشكل أخلاقي.

ردت Aave بتجميد أسواق rsETH على كل من V3 وV4 عبر إيثريوم وأربيتروم. اتخذت بروتوكولات أخرى مثل SparkLend وFluid وUpshift إجراءات وقائية أيضًا. ترك الحادث Aave بديون سيئة تقدر بحوالي $177 مليون، معظمها على أربيتروم، على الرغم من أن أسواق إيثريوم الرئيسية لا تزال مضمونة ولكنها معرضة لتأثيرات الانتشار. أوقفت Lido إيداعات earnETH كإجراء احترازي، بينما أوقفت Ethena وUSDT0 جسورهما بشكل استباقي رغم عدم وجود تعرض مباشر.

ظهرت مخاطر ثانوية مع ارتفاع استخدام ETH إلى 100% على Aave، مما قد يؤخر عمليات التصفية ويخلق اختلالات في حوافز الاقتراض.

الحالة الحالية والتداعيات

حتى 19-20 أبريل 2026، يواجه حاملو rsETH المربوطين خصمًا يتراوح بين 15-20% في انتظار أي جهود استرداد. يناقش مجتمع Aave حاليًا مقترحات الحوكمة لحل الديون السيئة، مع استمرار النقاش حول ما إذا كان ينبغي التعامل مع مراكز أربيتروم وإيثريوم الرئيسية بشكل منفصل.

يعد الحادث تذكيرًا صارخًا لمشاريع التمويل اللامركزي بمراجعة تكوينات تطبيقاتها اللامركزية وتنفيذ إعدادات DVN متعددة مع 3-4 مو verifier مطلوبين بدلاً من الاعتماد على نقاط فشل واحدة. لحسن الحظ، لم تتأثر أي مشاريع OFT أخرى من LayerZero بهذا الثغرة المحددة.

يتوقع باحثو الأمان نشر تحليلات كاملة للأسباب الجذرية في الأيام القادمة. يُنصح المستخدمون بمراقبة القنوات الرسمية من KelpDAO وAave والمحللين الأمنيين مثل ZachXBT للحصول على تحديثات فورية حول الوضع.