Grootste crypto-exploit van 2026: Kelp DAO getroffen voor $292 miljoen met vastzittende wrapped ether verspreid over 20 ketens

Een cross-chain bridge die bijna een vijfde van de circulerende voorraad van een hergestekte ether-token vasthoudt, is zojuist leeggehaald, en de nasleep verspreidt zich door DeFi sneller dan Kelp DAO contracten kan pauzeren.

Een aanvaller teruggetrokken 116.500 rsETH (opnieuw ingezet ether) van Kelp DAO's LayerZero-aangedreven brug om 17:35 UTC op zaterdag, met een waarde van ongeveer $292 miljoen tegen de huidige prijzen en die ongeveer 18% vertegenwoordigt van de circulerende voorraad van 630.000 rsETH-tokens, volgens de gegevens van CoinGecko.

LayerZero is een cross-chain messaginglaag, oftewel de infrastructuur die het verschillende blockchains mogelijk maakt om geverifieerde instructies naar elkaar te sturen. Kelp DAO is een liquid restaking-protocol, dat door gebruikers gestorte ETH neemt, deze via EigenLayer laat lopen om extra rendement te behalen bovenop de standaard Ethereum-stakingbeloningen, en rsETH uitgeeft als verhandelbaar ontvangstbewijs.

De brug die werd leeggehaald, hield de rsETH-reserve aan die de verpakte versies van de token ondersteunde en werd ingezet op meer dan 20 andere blockchains.

De aanvaller misleidde de cross-chain berichtlaag van LayerZero door te doen geloven dat er een geldige instructie was aangekomen van een ander netwerk, wat ertoe leidde dat de brug van Kelp 116.500 rsETH vrijgaf naar een door de aanvaller gecontroleerd adres.

De noodpauzekoop van Kelp’s multisig bevroor de kerncontracten van het protocol 46 minuten na de succesvolle afvoer, om 18:21 UTC. Twee vervolgpogingen om 18:26 UTC en 18:28 UTC werden beide teruggedraaid, elk met hetzelfde LayerZero-pakket dat een nieuwe afvoer van 40.000 rsETH probeerde, ter waarde van ongeveer $100 miljoen.

rsETH is uitgerold op meer dan 20 netwerken, waaronder Base, Arbitrum, Linea, Blast, Mantle en Scroll, waarbij het OFT-standaard van LayerZero het cross-chain transport verzorgt.

De rsETH die in de bridge werd gehouden, was de reserve die de gewrapte versies op elke layer 2-blockchain of netwerken die bovenop Ethereum draaien, ondersteunde.

Met die reserve uitgeput, staan houders op niet-Ethereum implementaties nu voor de vraag of hun tokens enig onderpand hebben, wat een feedbacklus creëert waarbij paniekerige aflossingen op L2's druk zetten op het niet-aangetaste Ethereum-aanbod, wat Kelp mogelijk dwingt om restaking-posities af te wikkelen om opnamen te honoreren.

De lijst met besmettingen is lang en groeit nog steeds.

Aave heeft de rsETH-markten bevroren op V3 en V4 binnen enkele uren, waarbij oprichter Stani Kulechov bevestigde dat de exploit extern was en dat de contracten van Aave niet waren gecompromitteerd. SparkLend en Fluid hebben hun rsETH-markten bevroren.

AAVE daalde met ongeveer 10% toen de markt mogelijke slechte schulden begon te waarderen.

Kelp, een product onder de KernelDAO-vlag, erkende het incident in zijn eerste publieke X-bericht om 20:10 UTC, bijna drie uur na de drain. Het protocol liet weten dat het samen met LayerZero, Unichain, zijn auditors en externe beveiligingsspecialisten onderzoek doet. Er is nog niet bekendgemaakt hoe de exploit de validatielogica van de bridge heeft omzeild.

Of rsETH zijn peg behoudt gedurende het weekend, hangt af van hoeveel van de cross-chain float probeert te worden ingewisseld voor ETH op Ethereum en of Kelp een deel van de gestolen fondsen kan terugvorderen voordat het spoor van Tornado Cash afkoelt.

De hack vindt plaats in een uitzonderlijk vijandige periode voor DeFi. Het op Solana gebaseerde perpetuals-protocol Drift werd op 1 april beroofd van ongeveer $285 miljoen bij een aanval die later werd gekoppeld aan actoren die geaffilieerd zijn aan Noord-Korea, en minstens een dozijn kleinere protocollen zijn sindsdien geëxploiteerd, waaronder CoW Swap, Zerion, Rhea Finance en Silo Finance.

Het verlies van $292 miljoen bij Kelp is nu de grootste DeFi-exploit van 2026, waarmee het Drift met enkele miljoenen dollars overvleugelt.