Взлом Kelp DAO обострил спор о рисках кроссчейн-мостов и реальной безопасности Layer 2

Спустя более чем 40 часов после кражи последствия инцидента вокруг Kelp DAO продолжают нарастать. В дискуссию втягиваются крупные проекты и экосистемы, включая Aave, LayerZero и Arbitrum, а некоторые популярные рыночные нарративы фактически оказались под угрозой "смертного приговора". В X известный KOL Фэн Усян заявил, что теперь безопасен только ETH, и добавил, что ARB санкционировал заморозку пользовательских активов: по его словам, "ни один L2 больше не является настоящим L2". Другой KOL, Ланьху, отметил, что главным проигравшим в истории с kelp стал не Aave и не Kelp, а LayerZero, но предупредил, что сводить все к спору "L2 жив или мертв" — слишком поверхностно. В его трактовке случившееся — прежде всего обвинительный акт в адрес кроссчейн-мостов. На фоне взаимных обвинений и разночтений кейс Kelp DAO превратился в показательную ситуацию: кто и где несет ответственность за безопасность, и что важнее для индустрии — прагматичная защита пользователей или технологический фундаментализм. I. "Опровергнут ли L0": кроссчейн-мосты под ударом Ключевым триггером стала опубликованная вчера подробная заметка LayerZero об атаке. В предварительной оценке команда связала инцидент с группой Lazarus, которой приписывают связи с Северной Кореей. По версии LayerZero, злоумышленники скомпрометировали downstream RPC-инфраструктуру, на которую опирается децентрализованная сеть верификации (DVN): получили контроль над частью RPC-нод и синхронизировали DDoS, чтобы вынудить систему переключиться на вредоносные узлы, после чего подделали кроссчейн-транзакции. "Использование скомпрометированных узлов для отравления RPC-инфраструктуры в сочетании с DDoS по неповрежденным RPC, чтобы форсировать failover, — крайне сложная тактика. По сути это война на уровне инфраструктуры", — прокомментировал Самюэль Цзе, руководитель по инвестициям и партнерствам Animoca Brands. В конце отчета LayerZero подчеркнул, что протокол "работал ровно так, как задумывался", уязвимостей в самом протоколе не обнаружено. Архитектура LayerZero с модульной безопасностью, по их утверждению, изолировала инцидент в рамках одного приложения: "нулевой риск заражения", отсутствие влияния на другие OFT и OApp. Именно такая позиция — фактическое дистанцирование от ответственности — стала катализатором резкой критики. Исследователь CM публично задал ряд вопросов: если проблема в "ошибочной конфигурации" KelpDAO, почему вообще допускалась схема 1/1, как атакующий получил доступ к внутреннему списку RPC, и почему логика failover после DDoS "слепо доверила" скомпрометированному RPC вместо остановки валидации или хотя бы минимальных защитных действий. DeFi-разработчик banteg заявил, что его тревожит намеренное размывание формулировок: в тексте говорится, что "протокол работает как ожидается", а атаку описывают как компрометацию и "RPC poisoning", хотя, по его словам, была нарушена и скомпрометирована собственная инфраструктура. Не получив объяснений, как произошел взлом, он не готов оперативно возвращать мост в работу. Kelp DAO в своем заявлении указала, что конфигурация single validator (1/1), приведшая к атаке, была не "сознательным игнорированием рекомендаций", а настройкой по умолчанию в официальных руководствах LayerZero. Также Kelp DAO подчеркнула, что DVN, которой воспользовался атакующий, — это инфраструктура LayerZero. По данным анализа Dune, из 2 665 OApp-контрактов, построенных на LayerZero, 47% используют DVN-конфигурацию 1/1, то есть единый механизм верификации, что кратно повышает системный риск для всей отрасли. В отрасли все чаще звучит тезис: даже если LayerZero не была "взломана напрямую", именно она несет крупнейший репутационный ущерб. Проекту придется заплатить цену за "разрешение слабых конфигураций" — либо доверие к кроссчейн-нарративу начнет разрушаться. От LayerZero ждут не только технических улучшений, но и большей доли ответственности в плане компенсаций. II. "Умер ли Layer 2": беспрецедентная заморозка на Arbitrum Триггером для спора о Layer 2 стало действие Arbitrum. Сегодня в полдень Security Council Arbitrum сообщил о чрезвычайной операции по спасению 30 766 ETH, находившихся на адресе злоумышленника в Arbitrum One. По текущей оценке речь идет о $71 млн. Arbitrum заявила, что после технического расследования и обсуждений комитет определил и реализовал решение, позволяющее перевести средства в безопасное место без влияния на состояние других цепей и без ущерба для пользователей Arbitrum. Исходный адрес больше не может распоряжаться средствами; дальнейшие действия по их перемещению возможны только через механизмы управления Arbitrum и будут координироваться с заинтересованными сторонами. По словам участников рынка, Security Council применил привилегированный тип транзакции state override (часть ArbOS, почти не используемая на практике): приватный ключ атакующего мог по-прежнему подписывать транзакции, но сам ETH с адреса был перемещен "самой цепью". Такой механизм фактически обходит приватный ключ и может быть внедрен только на уровне сети (через sequencer / путь обновления ArbOS), контролируемый Security Council. Сообщается, что Security Council Arbitrum состоит из 12 человек, избранных Arbitrum DAO; для решения требуется одобрение минимум 9 из 12. Этот шаг стал шоком для части аудитории. Ранее многие считали, что Arbitrum как представитель L2 не имеет возможности или полномочий "обращаться" с пользовательским ETH, поскольку это противоречит духу децентрализации. В прошлых взломах USDT и USDC часто замораживались Tether и Circle, но ETH как нативный актив ранее не замораживался и не переводился самой сетью, что превзошло ожидания большинства пользователей. У действия Arbitrum есть и сторонники: в их логике, когда компании, банки и регулируемые институты будут массово внедрять решения layertwo, способность действовать как централизованный оператор в критический момент — не недостаток, а преимущество. Для технологических максималистов это красная линия: "не нужен приватный ключ, не нужно разрешение, прямой перевод". Ланьху напрямую связал ситуацию с идеологической границей DeFi: "Not Your keys, not your coins". Инцидент снова вывел индустрию к классической развилке: прагматичная безопасность против полностью децентрализованной безопасности. Вывод Когда LayerZero заявила, что протокол "работал как задумано", она сохранила техническую корректность, но проиграла общественное мнение и доверие. Когда Arbitrum применил привилегированные транзакции для перевода $71 млн в ETH, сеть защитила средства пользователей, но нанесла сильный удар по нарративу децентрализации Layer 2. Взлом Kelp поставил на скамью подсудимых два главных нарратива рынка: кроссчейн-мосты — это инфраструктура или усилитель рисков; Layer 2 — надежное масштабирование Ethereum или "внешне децентрализованные" вторичные банки. Ситуация замкнулась в ироничный круг: протокол, продвигающий децентрализацию, упал из-за "единой точки отказа" в механизме валидации, а закрывать дыру пришлось через "централизованные привилегии" другого протокола. Это вынуждает индустрию ответить на вопрос, который обычно обходят: когда идеал децентрализации сталкивается с реальной стоимостью безопасности, чем рынок готов пожертвовать. Отдельная практическая ось истории — компенсации. Несмотря на то, что Arbitrum технически вернул более $70 млн, Aave все еще сталкивается почти с $200 млн проблемной задолженности. Как защитить интересы пользователей? Сегодня Aave предложила два варианта урегулирования bad debt. Первый — распределить потери между всеми держателями rsETH (общее распределение нагрузки), при этом Kelp DAO проведет единое списание стоимости rsETH (mainnet + L2) примерно на 15% с де-пегом. Второй — переложить потери полностью на держателей L2 rsETH, сохранив исходную стоимость rsETH в mainnet. При этом Kelp DAO и официальная команда LayerZero пока не прояснили свою роль в компенсационном плане. По тому, как LayerZero в отчете дистанцировалась от ответственности, критики делают вывод: "нет ответственности — нет обязательств по компенсациям". Но для протокола с многомиллиардной оценкой, на чьей кроссчейн-инфраструктуре держатся сотни проектов, попытка "технически снять" ответственность за масштабные потери из-за DVN-конфигурации по умолчанию выглядит как болезненная ирония к самому понятию "инфраструктуры". Ситуация все больше напоминает классическую дилемму заключенного: в кризисе участники пытаются минимизировать собственные потери через "разделение интересов", а не через совместную ответственность и восстановление доверия. По масштабу негативных последствий для DeFi это может стать самой опасной дилеммой заключенного в истории сектора.