328 millioner dollars stjålet: Bølgen af DeFi-bridge-hacks i 2026 og de strukturelle svagheder, der gør dem mulige

Det største DeFi-brud i 2026 fandt sted den 18. april, da angribere tømte cirka 116.500 rsETH – svarende til omkring 292 millioner dollars – fra KelpDAOs bridge bygget på LayerZero-infrastruktur.

Efterforskningen viste, at angrebet ikke primært skyldtes en fejl i en smart kontrakt. I stedet udnyttede det svagheder i broens valideringsarkitektur og understøttende infrastruktur.

Nøglefaktorer inkluderede:

• Single-verifier-konfiguration: KelpDAO brugte et 1-af-1 Decentralized Verifier Network (DVN)-setup, hvilket betød, at en enkelt verifikator kunne godkende beskeder på tværs af kæder.
• Kompromitteret infrastruktur: Angribere infiltrerede RPC-noder brugt af verifikatorsystemet og manipulerede dataene, der bekræfter transaktioners gyldighed.
• Forfalsket tværkædebesked: Den manipulerede infrastruktur gjorde det muligt for angriberen at fabrikere en besked, der indikerede, at tokens var blevet brændt på en anden kæde, hvilket udløste frigivelse af midler fra Ethereum-kontrakten.

LayerZero og andre efterforskere sagde, at tidlige indikationer pegede på Nordkoreas Lazarus Group – specifikt TraderTraitor-klyngen – som den sandsynlige gerningsmand, selvom tilskrivningen fortsat er foreløbig og ikke juridisk bekræftet.

THORChain-eksploitten

Et andet bemærkelsesværdigt angreb fandt sted den 15. maj 2026, hvor tværkæde-likviditetsprotokollen THORChain mistede omkring 10,8 millioner dollars på tværs af flere netværk, herunder Bitcoin, Ethereum og BNB Chain.

Efterforskere mener, at eksploitten ramte protokollens GG20 threshold-signatursystem, som giver noder mulighed for i fællesskab at signere transaktioner uden at afsløre den fulde private nøgle.

Ifølge hændelsesanalyse kan en ondsindet node, der deltog i signeringsrunder, gradvist have indsamlet fragmenter af kryptografisk materiale under legitime operationer og rekonstrueret den private nøgle, der kontrollerede et Asgard-hvælv. Da nøglen var gendannet, kunne angriberen signere uautoriserede hævninger.

Angrebet fremhævede en vedvarende risiko i tværkædesystemer, der er afhængige af distribueret signering: hvis nok nøglefragmenter blottes eller lækkes, kan hvælvet, der kontrollerer broens aktiver, blive kompromitteret.

Verus–Ethereum-bridge-hacket

Den 18. maj 2026 kostede endnu et bridge-eksploit omkring 11,58 millioner dollars fra Verus-Ethereum-broen.

Angriberen hentede aktiver inklusive 103,6 tBTC, 1.625 ETH og omkring 147.000 USDC, før de blev konverteret til ETH.

Sikkerhedsforskere fandt, at rodårsagen var et valideringshul i brologikken:

• Begge sider af broen udførte kontroller på tværkædetransaktioner.
• Men ingen af siderne krævede, at den anden bekræftede en afgørende værdi – overførselsbeløbet på kildekæden.

Fordi dette felt ikke blev håndhævet strengt, kunne en angriber indsende en besked, der så gyldig ud, men repræsenterede næsten ingen reel værdi på den oprindelige kæde, hvilket fik kontrakten til at frigive midler fra reserverne.

Hvorfor tværkæde-broer bliver ved med at blive hacket

Hændelserne i 2026 bekræftede en længe kendt advarsel inden for blockchainsikkerhed: Broer er ofte den farligste komponent i DeFi-infrastrukturen.

Flere strukturelle svagheder gentager sig gang på gang i bridge-eksplotter.

1. Sikkerhed koncentreret i et lille verifikatorsæt

Broer er ofte afhængige af en lille gruppe validatorer, relayere eller verifikatorer til at bekræfte beskeder på tværs af kæder. Hvis én eller flere af disse aktører kompromitteres – som i KelpDAO-tilfældet – kan angribere godkende svigagtige overførsler.

2. Risiko ved private nøgler og signaturordninger

Mange broer er afhængige af multisignatur- eller threshold-signatursystemer til at kontrollere hvælv, der indeholder store token-reserver. Hvis angribere får fingrene i nok nøglefragmenter eller kompromitterer deltagende noder, kan de producere legitimt udseende signaturer til ondsindede hævninger. Dette var en mistænkt faktor i THORChain-eksploitten.

3. Ufuldstændig beskedvalidering

Broer skal verificere, at hændelser på én blockchain rent faktisk er sket, før de frigiver aktiver på en anden. Manglende kontroller eller inkonsistente valideringsregler – såsom Verus-broens manglende bekræftelse af kildebeløb – kan tillade forfalskede beviser at passere verifikation.

4. Off-chain-infrastruktur som angrebsflade

Tværkædesystemer er stærkt afhængige af RPC-noder, relayere, overvågningsinfrastruktur og operationelle værktøjer. Kompromittering af disse systemer kan forgifte de data, der bruges af broernes verifikationsnetværk, som set i KelpDAO-eksploitten.

Hvorfor angrebene betyder noget for DeFi

Bridge-eksplotter gør mere end at dræne midler – de udfordrer det centrale løfte i decentraliseret finans: problemfri mobilitet af aktiver på tværs af blockchains.

Når en bridge svigter:

• Wrappede aktiver kan miste deres dækning
• DeFi-udlånsmarkeder, der bruger disse aktiver som sikkerhed, kan fryse
• Likviditet og tværkæde-handelsruter kan bryde sammen

Fordi broer fungerer som depot-lignende hubs, der holder store token-reserver, kan en enkelt eksploit skabe ringvirkninger på tværs af flere kæder og protokoller.

Bølgen af angreb i starten af 2026 viste, at problemet ikke er isolerede fejl, men systemisk arkitektonisk risiko. Indtil brodesigns anvender stærkere verifikationsmodeller, mere decentraliserede validatorer og hærdet operationel infrastruktur, vil tværkædesystemer forblive blandt de mest attraktive mål inden for kryptosikkerhed.