Ethereum ve Arbitrum’a 2026’nın En Büyük DeFi Saldırısı Gerçekleşti
Kripto piyasası Cumartesi gecesi sarsıldı. Likit restaking protokolü KelpDAO, büyük bir siber saldırıya uğrayarak yaklaşık 300 milyon dolar kaybetti. Proje ekibi sızıntıyı doğrularken; LayerZero, Unichain ve güvenlik uzmanlarıyla beraber sorunu çözmek için harekete geçti.
Köprüdeki Açık Dev Vurguna Yol Açtı
Güvenlik analizlerine göre saldırgan, protokolün köprü sözleşmesindeki bir açığı kullanarak 293,7 milyon dolar değerinde rsETH ele geçirdi. Hızla hareket eden hacker, çalınan varlıkları Ethereum’a çevirerek Ethereum ve Arbitrum ağlarına dağıttı.
Ardından ele geçirdiği rsETH’leri Aave ve Compound gibi borç verme platformlarına yatırıp karşılığında 236 milyon dolarlık gerçek varlık borçlandı. Uzmanlar, saldırganın karşılıksız token üretip bunları gerçek varlıklarla takas etmesinin sistemin çöküşünü hızlandırdığını belirtiyor.
Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.
We are working with @LayerZero_Core, @unichain, our auditors and top security experts on RCA.
We will keep you…
— Kelp (@KelpDAO) April 18, 2026
9 Farklı Protokol Etkilendi
KelpDAO’daki zafiyet sadece kendi platformuyla sınırlı kalmadı. Diğer protokollerle olan derin entegrasyon nedeniyle sorun tüm ekosisteme yayıldı.
Sistemde salgın etkisi yaratan sızıntı sonucunda en az 9 farklı platform ağır zarar gördü. Aave, SparkLend ve Euler gibi projeler riskin yayılmasını önlemek amacıyla ilgili piyasaları dondurma kararı aldı.
Due to the KelpDAO exploit creating bad debt on #Aave, $AAVE has dropped over 18% today. 🚨
Whales are dumping $AAVE.
• smaugvision sold 20,015 $AAVE for 2.06M $USDC at $103 avg.
• Whale 0xFC56 sold 20,000 $AAVE for 2.05M $USDC at $103 avg.
• Whale 0xA2E4 sold 19,666 $AAVE… pic.twitter.com/NUjWxIgdp0
— Lookonchain (@lookonchain) April 19, 2026
Kullanıcılar Güncelleme Bekliyor
KelpDAO, şüpheli faaliyetleri tespit ettikten sonra ana ağ ve katman-2 sözleşmelerini durdurduğunu açıkladı. Soruşturma devam etse de mağdur kullanıcıların varlıklarına ne olacağı henüz netlik kazanmadı.
Olayın üzerinden saatler geçmesine rağmen yeni bir bilgilendirme yapılmaması endişeleri artırıyor. 294 milyon dolarlık bu vurgun, 280 milyon dolarlık Drift Protokolü saldırısını geride bırakarak 2026’nın en büyük soygunu olarak tarihe geçti.
Root cause now fully on-chain.
The rsETH OFT Adapter on mainnet trusted a LayerZero message from EID 30320, peer 0xc3eACf06…09f58, and released 116,500 rsETH ($293.5M) from escrow in a single lzReceive call.
LayerZero Scan labels that source peer “Kelp DAO.” Meaning it was… https://t.co/4FjX7puHzt pic.twitter.com/MrSpgB7Lkb
— D2 Finance (@D2_Finance) April 18, 2026
