Взлом KelpDAO показал скрытые риски для владельцев NFT

По данным CoinDesk, уязвимость в KelpDAO привела к потере около 290 млн долларов и спровоцировала заметный шок ликвидности в DeFi. При этом косвенные риски затронули и владельцев NFT, которые используют один и тот же кошелёк для коллекций, кредитования и залога: проблемы в займовых позициях способны отразиться на доступе к NFT даже без прямой атаки на них. Эксплойт, связанный с Seaweed DAO, на первый взгляд выглядел как очередной инцидент в децентрализованных финансах. Фактически его последствия оказались шире одного протокола и высветили уязвимость повседневных практик управления кошельками. 18 апреля злоумышленники похитили примерно 290 млн долларов, манипулируя подтверждениями транзакций из-за ошибки конфигурации. Это была не поломка базовой инфраструктуры, а тонкий, но критически важный сбой в настройках, который позволил искажать сигналы о завершении операций. Ключевой проблемой стала архитектура KelpDAO "1to1 DVN": за критические подтверждения отвечал один валидатор. Такая схема создаёт единую точку отказа — при компрометации атакующий может отправлять ложные подтверждения, будто транзакция завершена, хотя на самом деле это не так. Уязвимость в подтверждениях zerolayer формально ограничивалась средой развёртывания KelpDAO, но ущерб на этом не закончился: в течение нескольких часов общий объём заблокированных средств (TVL) в African American English DeFi резко сократился, что подчеркнуло тесную взаимосвязь DeFi-систем. На фоне роста напряжённости цена AAVE снизилась примерно на 17%, а TVL протокола также заметно просел. Триггером стала нестабильность rsETH, который использовался как залог. Это вызвало рост проблемных долгов, остановку рынка и стремительное исчезновение ликвидности — типичный сценарий, когда доверие рушится каскадом. За короткий период DeFi лишился более 13 млрд долларов в заблокированной стоимости, напоминая, что даже "локальные" атаки редко остаются локальными. Отдельный слой риска — для владельцев NFT. Даже если коллекции не фигурируют в эксплойте, многие держат NFT, стейкают токены, выдают займы и взаимодействуют с DeFi из одного кошелька. Если в таком кошельке есть активы вроде rsETH и залоговая позиция становится высокорисковой или блокируется, последствия могут затронуть и NFT: ликвидация, заморозка позиций или потеря доступа способны ударить по всему кошельку, хотя сами NFT никто не взламывал. Риск неочевиден, но он реален. Снизить уязвимость можно базовой "гигиеной" кошелька: отзывать неиспользуемые разрешения смарт-контрактов, хранить NFT высокой стоимости в отдельном кошельке, регулярно мониторить кредитные и залоговые позиции. На практике многие начинают делать это только после инцидента, когда времени уже нет. История с KelpDAO — очередное напоминание: крипториски не всегда возникают там, где их ждут, и иногда незаметно распространяются на всё, что связано с одним кошельком.