Fala włamań na mosty DeFi w 2026 roku: jak skradziono 328 mln dolarów i dlaczego bezpieczeństwo międzyłańcuchowe wciąż zawodzi

Exploit KelpDAO–LayerZero o wartości 292 mln dolarów

Największe włamanie DeFi w 2026 roku miało miejsce 18 kwietnia, gdy hakerzy ukradli około 116 500 rsETH – wartych około 292 mln dolarów – z mostu międzyłańcuchowego KelpDAO zbudowanego na infrastrukturze LayerZero.

Śledztwo wykazało, że atak nie dotyczył przede wszystkim błędu w inteligentnych kontraktach. Zamiast tego wykorzystał słabości w architekturze weryfikacji i infrastrukturze wsparcia mostu.

Kluczowe czynniki:

• Konfiguracja pojedynczego weryfikatora: KelpDAO używało ustawienia 1-z-1 w zdecentralizowanej sieci weryfikatorów (DVN), co oznaczało, że jeden weryfikator mógł zatwierdzać wiadomości międzyłańcuchowe.
• Zaatakowana infrastruktura: Hakerzy przeniknęli do węzłów RPC używanych przez system weryfikatora i manipulowali danymi służącymi do potwierdzania poprawności transakcji.
• Sfałszowana wiadomość międzyłańcuchowa: Manipulowana infrastruktura pozwoliła atakującemu stworzyć wiadomość wskazującą, że tokeny zostały spalone na innej sieci, co wywołało uwolnienie środków z kontraktu na Ethereum.

Firma LayerZero i inni śledczy stwierdzili, że wczesne oznaki wskazują na północnokoreańską grupę Lazarus – a konkretnie klaster TraderTraitor – jako prawdopodobnego sprawcę, choć atrybucja pozostaje wstępna, a nie prawnie potwierdzona.

Exploit THORChain

Inny znaczący atak miał miejsce 15 maja 2026 roku, gdy protokół płynności międzyłańcuchowej THORChain stracił około 10,8 mln dolarów na wielu sieciach, w tym Bitcoin, Ethereum i BNB Chain.

Śledczy uważają, że exploit wykorzystał system podpisu progowego GG20, który pozwala węzłom wspólnie podpisywać transakcje bez ujawniania pełnego klucza prywatnego.

Według analizy incydentu, złośliwy węzeł uczestniczący w rundach podpisywania mógł stopniowo zbierać fragmenty materiału kryptograficznego podczas legalnych operacji i odtworzyć klucz prywatny kontrolujący skarbiec Asgard. Po odzyskaniu klucza haker mógł podpisywać nieautoryzowane wypłaty.

Atak uwypuklił trwałe ryzyko w systemach międzyłańcuchowych opartych na rozproszonym podpisywaniu: jeśli wystarczająca liczba fragmentów klucza zostanie ujawniona lub wycieknie, skarbiec kontrolujący aktywa mostu może zostać skompromitowany.

Włamanie na most Verus–Ethereum

18 maja 2026 roku kolejny exploit mostu wyprowadził około 11,58 mln dolarów z mostu międzyłańcuchowego Verus–Ethereum.

Haker ukradł aktywa, w tym 103,6 tBTC, 1625 ETH i około 147 000 USDC, a następnie zamienił je na ETH.

Badacze bezpieczeństwa ustalili, że przyczyną była luka w walidacji w logice mostu:

• Obie strony mostu przeprowadzały kontrole transakcji międzyłańcuchowych.
• Żadna ze stron nie wymagała jednak potwierdzenia kluczowej wartości – kwoty transferu z sieci źródłowej.

Ponieważ to pole nie było rygorystycznie egzekwowane, haker mógł przesłać wiadomość, która wydawała się poprawna, ale reprezentowała prawie zerową wartość w sieci źródłowej, co pozwoliło kontraktowi uwolnić środki z rezerw.

Dlaczego mosty międzyłańcuchowe wciąż padają ofiarą ataków

Incydenty z 2026 roku potwierdziły długo formułowane ostrzeżenie w branży bezpieczeństwa blockchain: mosty są często najbardziej niebezpiecznym elementem infrastruktury DeFi.

Kilka strukturalnych słabości powtarza się w exploitach mostów.

1. Bezpieczeństwo skoncentrowane w małym zestawie weryfikatorów

Mosty często polegają na małej grupie walidatorów, przekaźników lub weryfikatorów do zatwierdzania wiadomości międzyłańcuchowych. Jeśli jeden lub więcej z tych aktorów zostanie skompromitowanych – jak w przypadku KelpDAO – hakerzy mogą autoryzować fałszywe transfery.

2. Ryzyko klucza prywatnego i schematów podpisywania

Wiele mostów opiera się na systemach multisig lub podpisu progowego do kontrolowania skarbców przechowujących duże rezerwy tokenów. Jeśli hakerzy odzyskają wystarczającą liczbę fragmentów klucza lub skompromitują węzły uczestniczące, mogą wygenerować wyglądające na legalne podpisy dla złośliwych wypłat. Był to podejrzewany czynnik w exploicie THORChain.

3. Niepełna walidacja wiadomości

Mosty muszą weryfikować, czy zdarzenia na jednym blockchainie rzeczywiście miały miejsce, zanim uwolnią aktywa na innym. Brakujące kontrole lub niespójne reguły walidacji – jak w przypadku mostu Verus, który nie potwierdzał kwot źródłowych – mogą pozwolić sfałszowanym dowodom przejść weryfikację.

4. Infrastruktura poza łańcuchem jako powierzchnia ataku

Systemy międzyłańcuchowe w dużym stopniu polegają na węzłach RPC, przekaźnikach, infrastrukturze monitorującej i narzędziach operacyjnych. Kompromitacja tych systemów może zatruć dane używane przez sieci weryfikacyjne mostów, co było widoczne w exploicie KelpDAO.

Dlaczego te ataki mają znaczenie dla DeFi

Exploity mostów nie tylko wypompowują środki – podważają podstawową obietnicę zdecentralizowanych finansów: płynne przenoszenie aktywów między blockchainami.

Kiedy most zawodzi:

• Opakowane aktywa mogą stracić zabezpieczenie
• Rynki pożyczek DeFi używające tych aktywów jako zabezpieczenia mogą zostać zamrożone
• Trasy płynności i handlu międzyłańcuchowego mogą się załamać

Ponieważ mosty działają jak scentralizowane huby przechowujące duże rezerwy tokenów, pojedynczy exploit może mieć efekt domina na wiele sieci i protokołów.

Fala ataków z początku 2026 roku pokazała, że problemem nie są izolowane błędy, ale systemowe ryzyko architektoniczne. Dopóki projekty mostów nie będą opierać się na silniejszych modelach weryfikacji, bardziej zdecentralizowanych walidatorach i wzmocnionej infrastrukturze operacyjnej, systemy międzyłańcuchowe pozostaną jednym z najbardziej atrakcyjnych celów w bezpieczeństwie kryptowalut.