DeFi-bryggor hackade för 328 miljoner dollar – så fungerar attackerna

Det största DeFi-intrånget 2026 inträffade den 18 april, då angripare tömde cirka 116 500 rsETH – värda omkring 292 miljoner dollar – från KelpDAOs cross-chain-brygga byggd på LayerZero-infrastruktur.

Utredningar visade att attacken inte främst riktade sig mot en bugg i smarta kontrakt. Istället utnyttjades svagheter i bryggans verifieringsarkitektur och underliggande infrastruktur.

Viktiga faktorer:

• Enkelverifierare: KelpDAO använde en 1-av-1 Decentralized Verifier Network (DVN)-konfiguration, vilket innebar att en enda verifierare kunde godkänna cross-chain-meddelanden.
• Komprometterad infrastruktur: Angripare infiltrerade RPC-noder som användes av verifieringssystemet och manipulerade data som bekräftade transaktionsgiltighet.
• Förfalskat meddelande: Den manipulerade infrastrukturen gjorde att angriparen kunde fabricera ett meddelande som indikerade att tokens hade bränts på en annan kedja, vilket fick Ethereum-kontraktet att frigöra medel.

LayerZero och andra utredare uppgav att tidiga indikatorer pekade på Nordkoreas Lazarus Group – specifikt TraderTraitor-gruppen – som den sannolika aktören, även om attributionen fortfarande är preliminär och inte juridiskt bekräftad.

THORChain-exploiten

En annan anmärkningsvärd attack inträffade den 15 maj 2026, då cross-chain-likviditetsprotokollet THORChain förlorade cirka 10,8 miljoner dollar över flera nätverk, inklusive Bitcoin, Ethereum och BNB Chain.

Utredare tror att intrånget riktade sig mot protokollets GG20-tröskelsignatursystem, som gör att noder gemensamt kan signera transaktioner utan att avslöja den fullständiga privata nyckeln.

Enligt incidentanalys kan en illvillig nod som deltar i signeringsrundor ha samlat in fragment av kryptografiskt material under legitima operationer och rekonstruerat den privata nyckel som styrde ett Asgard-valv. När nyckeln väl var återställd kunde angriparen signera obehöriga uttag.

Attacken belyste en ihållande risk i cross-chain-system som förlitar sig på distribuerad signering: om tillräckligt många nyckelfragment exponeras eller läcker kan valvet som kontrollerar bryggans tillgångar komprometteras.

Verus–Ethereum-bryggan

Den 18 maj 2026 tömdes en annan brygga på cirka 11,58 miljoner dollar från Verus-Ethereum-bryggan.

Angriparen kom över tillgångar inklusive 103,6 tBTC, 1 625 ETH och cirka 147 000 USDC innan de växlades till ETH.

Säkerhetsforskare fann att grundorsaken var en valideringslucka i brygglogiken:

• Båda sidor av bryggan utförde kontroller av cross-chain-transaktioner.
• Ingen sida krävde dock att den andra bekräftade ett avgörande värde – överföringsbeloppet från källkedjan.

Eftersom det fältet inte var strikt kunde en angripare skicka ett meddelande som såg giltigt ut men representerade nästan inget verkligt värde på den ursprungliga kedjan, vilket gjorde att kontraktet frigjorde medel från reserverna.

Varför cross-chain-bryggor fortsätter att hackas

Incidenterna under 2026 bekräftade en långvarig varning inom blockchain-säkerhet: bryggor är ofta den farligaste komponenten i DeFi-infrastruktur.

Flera strukturella svagheter återkommer i bryggexploater.

1. Säkerhet koncentrerad till en liten verifieringsgrupp

Bryggor förlitar sig ofta på en liten grupp validatorer, relayers eller verifierare för att bekräfta cross-chain-meddelanden. Om en eller flera av dessa aktörer komprometteras – som i KelpDAO-fallet – kan angripare auktorisera bedrägliga överföringar.

2. Risk för privata nycklar och signeringssystem

Många bryggor är beroende av multisignatur- eller tröskelsignatursystem för att kontrollera valv med stora tokenreserver. Om angripare återvinner tillräckligt många nyckelfragment eller komprometterar deltagande noder kan de producera legitima signaturer för skadliga uttag. Detta var en misstänkt faktor i THORChain-exploiten.

3. Ofullständig meddelandekontroll

Bryggor måste verifiera att händelser på en blockkedja verkligen har inträffat innan tillgångar frisläpps på en annan. Saknade kontroller eller inkonsekventa valideringsregler – som Verus-bryggans misslyckande att bekräfta källbelopp – kan göra att förfalskade bevis klarar verifieringen.

4. Off-chain-infrastruktur som attackyta

Cross-chain-system är starkt beroende av RPC-noder, relayers, övervakningsinfrastruktur och operativa verktyg. Att kompromettera dessa system kan förgifta data som används av bryggornas verifieringsnätverk, vilket sågs i KelpDAO-exploiten.

Varför attackerna hotar DeFi

Bryggexploater gör mer än att tömma fonder – de utmanar kärnlöftet om decentraliserad finans: sömlös tillgång till tillgångar över blockkedjor.

När en brygga fallerar:

• Wrappade tillgångar kan förlora sin säkerhet
• DeFi-utlåningsmarknader som använder dessa tillgångar som säkerhet kan frysas
• Likviditet och cross-chain-handelsrutter kan brytas

Eftersom bryggor fungerar som förvaringshubbar med stora tokenreserver kan en enda exploats effekter spridas över flera kedjor och protokoll.

Den tidiga vågen av attacker under 2026 visade att problemet inte är isolerade buggar utan systemisk arkitektonisk risk. Tills bryggdesigner förlitar sig på starkare verifieringsmodeller, mer decentraliserade validatorer och förbättrad operativ infrastruktur kommer cross-chain-system att förbli ett av de mest attraktiva målen inom kryptosäkerhet.