Oś czasu exploitacji w kwietniu 2026
17:35 UTC — Początek ataku
Napastnik wysyła fałszywy dowód wiadomości cross-chain do mostu Kelp DAO opartego na LayerZero.
Kontrakt akceptuje wiadomość jako ważną.
Zwalniamy 116.500 rsETH bez zabezpieczenia do portfela napastnika.
Przybliżona wartość w tym momencie: ≈ 292 miliony USD (18 % podaży tokena). �
defiprime.com +1
👉 Tutaj naprawdę zaczyna się hack.
17:35 – 18:21 UTC — Faza eksploitacji DeFi
W ciągu następnych minut napastnik uruchamia drugą fazę:
Depozytuj skradzione rsETH jako zabezpieczenie w różnych protokołach:
Aave V3
Compound V3
Euler
Zaciągnij pożyczki w WETH (wrapped ETH).
Wyniki przybliżone:
≈196 milionów USD pożyczonych w Aave
≈39 milionów USD w Compound
≈840k USD w Euler �
LeoDex
Całkowity dług wygenerowany w DeFi:
≈236 milionów USD
18:21 UTC — Kelp DAO wstrzymuje protokół
Zespół Kelp DAO wykonuje nagłe "pauseAll".
To zdarza się 46 minut po początkowym exploicie. �
KuCoin +1
Późniejsze próby hakera na wyciągnięcie większej ilości tokenów kończą się niepowodzeniem.
~18:52 UTC — Aave aktywuje sytuację awaryjną
Aave Guardian wykrywa podejrzaną aktywność.
Rynki rsETH i wrsETH są zablokowane we wszystkich wdrożeniach protokołu. �
Aave
Mimo to, szkody już zostały wyrządzone:
pożyczki z fałszywym zabezpieczeniem już istniały.
~18:55 UTC — Publiczne dochodzenie
Badacz on-chain ZachXBT ostrzega o ataku na Telegramie.
Zidentyfikowano kilka portfeli powiązanych z atakującym.
20:10 UTC — Pierwsze oficjalne oświadczenie
Kelp DAO publikuje swoje pierwsze publiczne oświadczenie.
Potwierdza:
podejrzana aktywność cross-chain
kontrakty wstrzymane
trwa dochodzenie. �
LeoDex
📉 19 kwietnia — Kryzys w Aave
Godziny później zaczynają się konsekwencje systemowe:
≈177-200 milionów USD długów nieściągalnych w Aave. �
KuCoin +1
Pool WETH osiąga 100% wykorzystania. �
Binance
Użytkownicy próbują masowo wypłacić płynność.
Ponad 5.4 miliarda USD w ETH wypływa z protokołu. �
BeInCrypto
Token AAVE spada o około 20%. �
CoinMarketCap
📊 19–20 kwietnia — Efekt domina
W ciągu następnych 24–48 godzin:
TVL Aave spada z ~26.4B do mniej niż 20B. �
LeoDex +1
Rozpoczęto dyskusję o zarządzaniu w celu pokrycia strat.
System ochrony Umbrella / Safety Module został aktywowany.
Kelp DAO rozpoczyna negocjacje white-hat z hakerem.
🧠 Podsumowanie ataku (w jednym zdaniu)
Haker mostu w Kelp DAO → tworzy fałszywe tokeny → używane jako zabezpieczenie w Aave → prawdziwe pożyczki → długi nieściągalne.
Czas trwania technicznego exploita:
≈46 minut
Całkowity wpływ finansowy na ekosystem:
$292M skradzionych
$177M–$200M długów w Aave
$6B–$9B wypłaconej płynności �
KuCoin +1
#HackAAVE #AaveProtocol #HackeoAAVE