Założyciel Tron, Justin Sun, publicznie wezwał hakera mostu KelpDAO do negocjacji zwrotu skradzionych środków. Ostrzegł, że strata 292 mln USD może pogrążyć zarówno Aave, jak i KelpDAO.
Apel Sun’a pojawił się po największym ataku w zdecentralizowanych finansach (DeFi) w 2026 roku. 18 kwietnia z cross-chain bridge KelpDAO zniknęło 116 500 rsETH.
Sun przenosi środki, a Aave ponosi straty
Atakujący wykorzystał lukę w bridge KelpDAO opartym o LayerZero, fałszując komunikaty cross-chain. Dzięki temu uwolnił rsETH bez odpowiedniego spalania tokenów.
Skradzione tokeny zdeponował jako zabezpieczenie na Aave V3. Następnie wypożyczył duże ilości Wrapped Ether (WETH) pod ich zastaw.
rsETH pozostały bez pokrycia, więc te pozycje stały się praktycznie niemożliwe do likwidacji. Aave zostało z ponad 236 mln USD złego długu.
Aave w ciągu kilku godzin zamroziło rynki rsETH w wersjach V3 i V4. Założyciel Aave, Stani Kulechov, potwierdził, że atak nie rozpoczął się w kontraktach Aave.
Dane on-chain pokazują, że Sun natychmiast wycofał 65 584 ETH o wartości ok. 154 mln USD z Aave. Potem zdeponował je na Spark.
Jego łączna ekspozycja na Aave spadła podobno do 380 mln USD, a środki na Sky i Spark wzrosły do 2,13 mld USD.
“OK — hakerze Kelpdao, ile chcesz? Porozmawiajmy. Oczywiście z pomocą KelpDAO. Po prostu nie warto poświęcić Aave i KelpDAO i pozwolić im upaść przez ten atak.”
Na incydent odpowiedział też protokół interoperacyjności Axelar. Wyraził solidarność z LayerZero i wezwał branżę do wdrożenia silniejszych standardów bezpieczeństwa mostów.
Axelar zwrócił uwagę na znaczenie konfiguracji z wieloma walidatorami. Podkreślił, że jedno-walidatorowe rozwiązanie Kelp mogło umożliwić atak.
Ten atak przekroczył stratę 285 mln USD na Drift Protocol z 1 kwietnia, stając się największą stratą DeFi w tym roku.
