TL;DR
- 🔴 Ca. 292 millioner dollar i rsETH ble stjålet fra Kelp DAO 18. april 2026
- 🔴 LayerZero peker på svak sikkerhetsoppsett hos Kelp DAO; Kelp DAO peker tilbake på LayerZero
- 🔴 Aave frøs rsETH-markeder og opplevde milliarder i utflyt som følge av angrepet
- 🔴 DeFi-sektoren har nå tapt over én milliard dollar i exploits så langt i 2026
Et av DeFis største ran i 2026
Natt til 18. april 2026 ble det flytende restaking-protokollen Kelp DAO rammet av et sofistikert angrep som endte med at 116 500 rsETH — tilsvarende anslagsvis 292–294 millioner dollar — ble drenert ut av systemet. Ifølge sikkerhetsselskapet Cyvers ble midlene raskt vekslet tilbake til ETH og fordelt mellom Ethereum mainnet og Arbitrum.
Angrepet er blant de største enkeltekspolitene i DeFi-historien og bidrar til at samlede tap i sektoren nå overstiger én milliard dollar bare i løpet av de første månedene av 2026, ifølge The Block.
Slik ble angrepet gjennomført
Angriperne kompromitterte RPC-noder (remote procedure call) som LayerZeros verifiseringssystem benyttet. Deretter ble ondsinnede binærfiler distribuert for å manipulere transaksjonsdata, og et koordinert DDoS-angrep tvang systemet til å falle over til den kompromitterte infrastrukturen. Resultatet var at systemet aksepterte forfalskede meldinger på tvers av kjeder, noe som muliggjorde ubegrenset og udekket minting av rsETH.
LayerZero utpekte i sin post-mortem, med det de selv beskriver som «foreløpig sikkerhet», Nord-Koreas Lazarus Group — spesifikt undergruppen TraderTraitor — som ansvarlig for angrepet.
Skylddebatt mellom tre aktører
LayerZero: Peker på Kelp DAOs konfigurasjon
LayerZero hevder at den tekniske rotårsaken var at Kelp DAO opererte med en såkalt «1-of-1 verifier»-konfigurasjon — det vil si at LayerZero Labs alene sto for all verifisering av meldinger til og fra rsETH-broen. Protokollen sier videre at de gjentatte ganger hadde anbefalt Kelp DAO å innføre et oppsett med flere uavhengige verifisatorer for å unngå et slikt enkeltfeilpunkt. LayerZero understreker at deres protokollkode og private nøkler ikke ble kompromittert, og varsler at de ikke lenger vil signere meldinger for prosjekter som bruker énverifisator-konfigurasjon.
Kelp DAO: Skylder på LayerZeros infrastruktur
Kelp DAO på sin side beskriver hendelsen som et «infrastrukturbrudd hos LayerZero Labs», og sier de oppdaget mistenkelig kryssjedeaktivitet og umiddelbart satte rsETH-kontrakter på pause på mainnet og en rekke lag 2-løsninger mens de samarbeidet med sikkerhetseksperter.
Aave: Fryste markedet for å begrense skaden
Aave, en av DeFis største utlånsplattformer, ble trukket inn i krisen som følge av sin eksponering mot rsETH. Aaves grunnlegger Stani Kulechov presiserte på X at Aaves egne kontrakter ikke var angrepet, og at innfrysingen av rsETH-markeder var et tiltak for å støtte Kelp DAOs etterforskning. Likevel satte hendelsen i gang massive utflyt fra utlånsprotokoller på tvers av DeFi-økosystemet. DeFiLlama-utvikleren 0xngmi pekte på dette som et tydelig eksempel på den systemiske risikoen som oppstår av DeFis tette sammenkoblinger.
TVL faller til laveste på ett år
Eksploitet og den påfølgende likviditetskrisen har fått merkbare konsekvenser for hele DeFi-sektoren. Ethereums total value locked (TVL) har falt med nesten 18 prosent den siste måneden, og sektorens samlede TVL er nå på sitt laveste nivå på ett år, ifølge The Block.
Det brede fallet reflekterer ikke bare Kelp DAO-tapet isolert sett, men også tillitssvikten og den automatiske risikoreaksjonen som oppstår når store protokoller med krysskjede-eksponering rammes.
Forsikringsmarkedet i DeFi: Fortsatt svakt
Hendelsen setter på nytt søkelyset på den vedvarende mangelen på tilstrekkelig risikodekning i DeFi. Plattformer som Nexus Mutual har bygget forsikringsinfrastruktur for nettopp slike scenarioer, men markedet dekker fortsatt en forsvinnende liten andel av det totale DeFi-markedet. Ifølge tilgjengelige data utgjorde desentralisert forsikring under én prosent av DeFis totale TVL så sent som i 2022, og veksten siden har ikke holdt tritt med eksponeringen som akkumuleres.
Det er foreløpig uklart om Kelp DAO-brukere vil motta kompensasjon, og ansvarsspørsmålet mellom Kelp DAO, LayerZero og eventuelle forsikringsordninger er ikke avklart.
Hva skjer videre?
LayerZero har avviklet de kompromitterte RPC-nodene og gjenopptatt normal DVN-drift, mens de samarbeider med rettshåndhevelse for å spore midlene. Kelp DAO har foreløpig ikke annonsert en konkret kompensasjonsplan. Ansvarsspørsmålet ser ut til å bli en langvarig juridisk og teknisk prosess — og utfallet kan få betydning for hvordan krysskjede-infrastruktur sikres og hvem som bærer risikoen i fremtiden.
