Pinakamalaking Crypto Heist ng Taon
Noong Abril 18, 2026, tinangay ng mga umaatake ang cryptocurrency na nagkakahalaga ng humigit-kumulang $290 milyon mula sa KelpDAO, isang protocol ng decentralized finance na binuo sa Ethereum network. Ito ang pinakamalaking pagnanakaw ng digital asset ngayong taon. Iniugnay ng LayerZero Labs, isang tagapagbigay ng cross-chain infrastructure na nadamay sa insidente, ang pag-atake sa TraderTraitor, isang espesyalisadong yunit sa loob ng Lazarus Group ng North Korea. Batay ito sa mga paunang teknikal na palatandaang tumutukoy sa isang napakasopistikadong operasyong itinataguyod ng estado. Nangyari ang heist ilang linggo lamang matapos umanong tangayin ng mga kaparehong banta ang $285 milyon mula sa Drift Protocol, kaya umabot sa mahigit $575 milyon ang kabuuang ninakaw ng mga hacker na North Korean ngayong Abril pa lamang.
Mga Nilalaman
rsETH ang puntirya ng pag-atake. Isa itong liquid restaking token na inilalabas ng KelpDAO at kumakatawan sa naka-stake na Ethereum na kumikita ng yield habang nananatiling magagamit sa iba pang decentralized application. Sinamantala ng mga magnanakaw ang mga kahinaan sa proseso ng cross-chain verification at tinangay ang 116,500 rsETH token na nagkakahalaga ng humigit-kumulang $293 milyon. Pagkatapos, hinugasan nila ang bahagi ng pondo sa pamamagitan ng Tornado Cash, isang serbisyong naghahalo ng cryptocurrency upang itago ang bakas ng mga transaksyon. Tinataya na noon ng isang panel ng United Nations na mahigit $3 bilyon na ang ninakaw ng North Korea sa cryptocurrency mula 2017, at ginagamit ang mga ilegal na pondong ito upang tumulong sa pagpopondo ng programa nito sa pagpapaunlad ng mga sandatang nuklear.
Higit pa ito sa isang hiwalay na krimen. Para sa mga security analyst, patunay ang insidente ng tumitinding kampanya ng Pyongyang laban sa ecosystem ng decentralized finance, na naglalantad ng mga pangunahing kahinaan sa paggana ng cross-chain bridge at mga mekanismo ng verification. Nagdulot ng matinding pangamba sa industriya ng cryptocurrency ang pagnanakaw. Nag-freeze ng mga merkado ang higanteng tagapagpautang na Aave, at bilyun-bilyong dolyar ang iniurong mula sa mga apektadong protocol.
Paano Isinagawa ang Cross-Chain Exploit
Gumagana ang KelpDAO bilang liquid restaking protocol, kung saan maaaring magdeposito ng Ethereum ang mga user at tumanggap ng rsETH token bilang kapalit. Kinakatawan ng mga derivative token na ito ang mga naka-stake na asset habang patuloy na kumikita ng reward sa pamamagitan ng EigenLayer, isang restaking infrastructure sa Ethereum. Sa pamamagitan ng mga interoperability layer gaya ng LayerZero, maaaring ilipat ang rsETH sa iba't ibang blockchain network. Nagbibigay ito ng higit na flexibility ngunit pinalalawak din ang posibleng lawak ng pag-atake. Naging pasukan para sa pinakamalaking crypto exploit na naitala ngayong taon ang cross-chain na kakayahang ito.
Tinarget ng mga umaatake ang Decentralized Verifier Network, o DVN, na may tungkuling magpatunay ng mga mensahe sa pagitan ng iba't ibang blockchain. Sa halip na samantalahin ang depekto sa mismong smart contract code ng KelpDAO, minanipula ng mga hacker ang imprastrakturang sumusuporta sa mga operasyong ito ng verification. Nakompromiso nila ang ilang partikular na Remote Procedure Call node, na nagsisilbing mga endpoint ng komunikasyon na nagbibigay-daan sa mga application na magbasa ng datos sa blockchain, at nagpasok ng palsipikadong datos sa verification layer.
Upang palakasin ang pag-atake, sabay na nagsagawa ang mga umaatake ng distributed denial-of-service attack laban sa mga lehitimong RPC node. Pinahina ng sunod-sunod na pag-atakeng ito ang kakayahang makuha ang datos mula sa mga pinagkakatiwalaang mapagkukunan at napilitan ang sistema na umasa sa mga nakompromisong node na nagpapadala ng maling impormasyon. Sa madaling salita, nilason ng mga umaatake ang proseso ng pagpapatunay kaya tinanggap bilang lehitimo ang mga mapanlinlang na cross-chain message, kahit hindi naman talaga naganap sa blockchain ang mga transaksyong pinagbabatayan ng mga ito.
Isang kritikal na kahinaan ang nagbigay-daan sa panlilinlang. Iisang DVN lang ang ginamit ng KelpDAO para sa mga cross-chain na operasyon nito. Ibig sabihin, iisang verifier lang ang sumusuri sa bisa ng mga mensahe sa halip na mangailangan ng pagsang-ayon mula sa maraming independiyenteng validator. Sinabi ng LayerZero na lumikha ng iisang punto ng pagkabigo ang ganitong setup, kaya nakalusot ang palsipikadong mensahe nang walang karagdagang pagsusuri. Gumamit ang mga umaatake ng custom payload na sadyang idinisenyo upang magpadala ng palsipikadong mensahe sa DVN nang may kaunting babala, at nagawa nilang ilipat nang walang pahintulot ang mga rsETH token sa mga wallet na kontrolado nila.
Nagsisihan ang LayerZero at KelpDAO
Matapos ang heist, nagkaroon ng pampublikong pagtatalo ang LayerZero at KelpDAO tungkol sa pananagutan sa paglabag sa seguridad. Iginiit ng LayerZero na resulta lamang ang insidente ng pasya ng KelpDAO na gumamit ng iisang verifier, sa kabila ng mga rekomendasyong magpatupad ng maraming independiyenteng DVN. Binigyang-diin ng kumpanya na naipabatid na nito dati sa KelpDAO ang pinakamahuhusay na pamamaraan para pag-iba-ibahin ang mga DVN, at hindi sana naging mabisa ang pag-atakeng ito kung gumamit ng pinatibay na configuration na nangangailangan ng pagsang-ayon mula sa maraming verifier.
Naglabas ang LayerZero ng detalyadong teknikal na ulat pagkatapos ng insidente, na nagpapaliwanag sa pamamaraan ng RPC spoofing attack at nagsasaad na walang pagkalat ng epekto sa iba pang cross-chain asset o application na gumagamit ng ibang configuration. Inanunsyo ng kumpanya na titigil ito sa pagpirma ng mga mensahe para sa mga application na gumagamit ng setup na iisa lang ang verifier, upang maiwasan ang mga kahalintulad na insidente. Tinukoy ng LayerZero ang partikular na banta bilang TraderTraitor, isang pangkat sa loob ng Lazarus Group na kilala sa pagtutok sa mga platform ng cryptocurrency.
Tinanggihan ng KelpDAO ang paglalarawang ito. Ayon dito, gumagamit na ito ng imprastraktura ng LayerZero mula pa noong Enero 2024 at bukas ang mga linya ng komunikasyon nito sa team ng LayerZero. Sinabi ng KelpDAO na lumitaw ang mga tanong tungkol sa configuration ng DVN habang pinalalawak nito ang operasyon sa Layer 2, at hayagang kinumpirma noon na ang mga default na setting ay angkop. Giit ng protocol, naging daan ang default na setup ng LayerZero para magamit ang bulnerableng configuration. Hinamon nito ang pananaw na dapat lubos na managot ang mga user sa mga parameter ng seguridad na iniharap bilang karaniwang opsyon.
Sa paggamit ng configuration na may iisang punto ng pagkabigo, walang independiyenteng verifier na makakahuli at tatanggi sa palsipikadong mensahe. Naipabatid na dati ng LayerZero at iba pang panlabas na partido sa KelpDAO ang pinakamahuhusay na pamamaraan para pag-iba-ibahin ang mga DVN. Sa kabila ng mga rekomendasyong ito, pinili ng KelpDAO na gumamit ng 1/1 DVN configuration.
Nagbigay ng pananaw ang mga eksperto sa seguridad sa debateng ito. Anila, pangunahing depekto sa disenyo ng mga decentralized system ang pag-asa sa mga user na magbasa ng dokumentasyon at manu-manong pumili ng mas ligtas na opsyon. Sinabi ni David Schwed, chief operating officer ng blockchain security firm na SVRN, na kung natukoy na hindi ligtas ang isang configuration, hindi ito dapat ialok bilang opsyon. Sumasalamin ito sa mas malawak na tensiyon sa Web3 ecosystem sa pagitan ng mga mithiin ng decentralization at ng praktikal na pangangailangan para sa ligtas na default na mga setting.
Sunod-sunod na Epekto sa Decentralized Finance
Lumampas nang malayo sa KelpDAO ang epekto ng pagnanakaw at ipinakita nito kung gaano magkakaugnay ang mga makabagong protocol ng decentralized finance. Dahil ginagamit ang rsETH bilang kolateral sa maraming lending platform, lumikha ang exploit ng sistemikong panganib na kumalat sa ecosystem sa loob lamang ng ilang oras. Halos $8 bilyon ang ibinaba ng kabuuang halagang naka-lock sa Aave, isa sa pinakamalalaking decentralized lending protocol, habang nagmamadaling mag-withdraw ng mga asset ang mga mamumuhunan. Nag-freeze ang protocol ng mga rsETH market sa Ethereum, Arbitrum, Base, Mantle at Linea upang maiwasan ang karagdagang pagkalantad sa panganib.
Nagpakita ng sopistikadong inhenyeriyang pinansyal ang mga umaatake nang ideposito nila sa Aave v3 bilang kolateral ang ninakaw na rsETH at mangutang ng wrapped Ether, kaya nakalikha ng humigit-kumulang $195 milyon na utang sa platform. Habang nagmamadaling mag-withdraw ng mga asset ang mga user upang maiwasan ang posibleng pagkalugi, umabot sa ganap na kapasidad ang mga lending pool ng Aave v3. Pansamantala nitong hindi napakinabangan ang mahigit $5.1 bilyon sa mga stablecoin. Iniulat din ng mga protocol na Compound at Euler na naapektuhan sila ng insidente, ngunit nagpatupad ang mga ito ng mga pang-emerhensiyang hakbang upang limitahan ang pagkalat ng epekto.
Sinuri ni Charles Hoskinson, tagapagtatag ng Cardano, ang exploit sa isang livestream at pinag-iba niya ang unang pagnanakaw sa sumunod na pagkalat ng epekto sa mga lending market. Aniya, hindi bago ang mismong pamemeke sa bridge; ang pambihira rito ay kung paano ginamit ng umaatake ang ninakaw na rsETH bilang kolateral upang mangutang ng mga likidong asset. Dahil dito, naging krisis sa balanse para sa hindi bababa sa siyam na protocol ang isang simpleng pagnanakaw. Ginawang sandata laban sa mas malawak na DeFi ecosystem ng ikalawang paraan ng pag-atakeng ito ang kolateral na may bahid ng panlilinlang.
Matindi ang naging reaksiyon ng merkado sa balita. Nagpalipat-lipat ang presyo ng rsETH sa pagitan ng $1,600 at $2,500 sa unang 24 na oras habang inaalis ng mga liquidity provider ang kanilang suporta. Bumaba nang humigit-kumulang $13 bilyon ang kabuuang halagang naka-lock sa DeFi sa loob ng 48 oras matapos ang insidente. Nagawang i-freeze ng Security Council ng Arbitrum ang humigit-kumulang 30,766 ETH na nagkakahalaga ng $71 milyon, o mga sangkapat ng ninakaw na pondo, ngunit nanatiling kontrolado ng mga umaatake ang karamihan nito.
Lazarus Group at Pagnanakaw na Itinataguyod ng Estado
Kaayon ng matagal nang padron ng pagnanakaw ng cryptocurrency na itinataguyod ng estado ang pagkakaugnay ng insidente sa Lazarus Group ng North Korea. Layunin ng ganitong mga pagnanakaw na malusutan ang mga internasyonal na parusa at pondohan ang mga programa sa armas. Ang TraderTraitor, ang partikular na pangkat na tinukoy sa pag-atakeng ito, ay naiugnay sa ilang malalaking heist nitong mga nakaraang taon. Kabilang dito ang pagnanakaw ng $1.5 bilyon mula sa Bybit noong unang bahagi ng 2026, na pinakamalaking crypto heist sa kasaysayan. Itinala ng mga tagasubaybay ng United Nations kung paanong direktang ipinapasok ng Pyongyang ang mga ilegal na pondong ito sa pagpapaunlad nito ng mga sandatang nuklear at ballistic missile.
Ayon sa mga security researcher, nagbago na ang mga cyber operation ng North Korea: mula sa mga oportunistikong pag-atake sa mga exchange, naging sopistikado at matiyagang panghihimasok sa pundamental na imprastraktura ng decentralized finance. Inilarawan ni Alexander Urbelis, chief information security officer sa ENS Labs, ang mga insidenteng ito bilang tuluy-tuloy na serye ng mga operasyon, hindi magkakahiwalay na pangyayari. Binigyang-diin niya na hindi lang basta yumayaman ang mga grupong gaya ng Lazarus; nagiging mas mahusay din ang mga ito. Ginagamit nila ang mga ninakaw na yaman upang palawakin ang kanilang mga tool, hasain ang mga pamamaraan at muling mamuhunan sa mga susunod na kampanya.
Hindi mga umaatake na basta sumasalakay at umaalis agad ang sumusubok sa mga sistemang ito. Pinipiga ang mga ito ng mga disiplinadong kalaban na alam kung paano pagdugtung-dugtungin ang mga kahinaan sa imprastraktura, application at mga ugnayang pinagkakatiwalaan.
Ipinakikita ng pamamaraan ng pag-atake ang pagbabago sa mga estratehiya ng Lazarus sa pagpili ng mga puntirya. Sa halip na pagsamantalahan ang mga kahinaan sa smart contract o nakawin ang mga pribadong key, sinimulan ng grupo na tutukan ang cross-chain at restaking infrastructure, ang mga bahaging nagdurugtong sa iba't ibang blockchain network. Masalimuot sa teknikal ang mga layer na ito, kadalasang nagtataglay ng malaking halaga at mas mahirap bantayan kaysa sa mga application na direktang nakikita ng mga user. Sa pagkokompromiso sa imprastraktura ng verification sa halip na sa lohika ng application, ipinakita ng mga umaatake na kabisado nila kung paano nagtitiwala at nagpapatunay ng impormasyon ang mga decentralized system.
Sinabi ni Henri Arslanian, kasamang tagapagtatag ng Nine Blocks Capital Management, na tiyak siya sa pagkakaugnay nito. Aniya, walang ibang grupo sa buong mundo ang may kasanayan at kakayahang magsagawa ng gayong pag-hack. Kaayon lamang umano ng mga kakayahan ng isang estado ang teknikal na pagiging sopistikado at seguridad sa operasyon na ipinakita sa exploit ng KelpDAO. Sinusuportahan din ng paggamit sa Tornado Cash upang maghugas ng pera, kasama ng maraming yugtong pag-atake na kinasangkutan kapwa ng pagkokompromiso sa imprastraktura at mga elemento ng social engineering, ang pagtatayang ito.
Mga Pagtatangkang Makipagnegosasyon at Mga Aral sa Seguridad
Sa di-pangkaraniwang hakbang, hayagang nakiusap si Justin Sun, bilyonaryo at tagapagtatag ng Tron Network, sa mga hacker na isauli ang ninakaw na pondo. Sa social media, inalok ni Sun ang mga umaatake na makipagnegosasyon nang direkta at tinanong kung magkano ang gusto nila. Giit niya, hindi sulit na isakripisyo ang Aave at KelpDAO. Ipinakita ng pakikialam niya ang tindi ng sistemikong panganib na dulot ng exploit, lalo't nagpadala ang mga address na inuugnay sa HTX, ang exchange na pag-aari ni Sun, ng daan-daang milyong dolyar sa mga account sa Aave.
Hacker ng Kelp DAO, magkano ang gusto mo? Mag-usap tayo. Sa tulong ng Kelp DAO, siyempre. Hindi talaga sulit na isakripisyo ang Aave at Kelp DAO at hayaang bumagsak ang mga ito dahil sa hack na ito. Hindi mo rin naman kayang gastusin ang $300 milyon.
Nagpasiklab ang insidente ng matinding debate sa komunidad ng blockchain security tungkol sa balanse sa pagitan ng decentralization at kaligtasan. Ayon kay Charles Hoskinson, nasa lohika ng verification, hindi sa lohika ng application, ang naging pagkabigo. Aniya, napigilan sana ang pamemeke kung gumamit ng tatlo sa limang verifier sa halip na configuration na iisa lamang ang verifier. Umaabot ang kritikang ito sa mas malawak na Ethereum ecosystem, kung saan maaaring magdulot ng mga pagdepende ang masalimuot na interaksiyon sa pagitan ng mga chain, at palakihin ang panganib mula sa iisang punto ng pagkabigo.
Ipinaglalaban ng mga propesyonal sa seguridad ang mga arkitekturang zero-trust, na ipinapalagay na may mangyayaring kompromiso at nagpapatupad ng mahigpit na verification sa masalimuot na kapaligiran. Kabilang sa mga inirerekomendang hakbang ang pagpapatibay sa mga RPC endpoint, pagpapatupad ng mga mekanismo ng pagsang-ayon ng maraming partido, paglalagay ng matitibay na depensa laban sa DDoS at paggamit ng mga circuit breaker na awtomatikong makapagpapahinto ng mga transaksyon kapag may natukoy na anomalya. Ipinakikita ng exploit ng KelpDAO na sa decentralized finance, nakasalalay ang tibay ng buong chain sa mga pananggalang sa bawat kawing. Kapag naputol ang isang kawing, mabilis na kumakalat ang mga kahihinatnan.
Para sa mga baguhan sa DeFi, mariing paalala ang heist na hindi iisang katangian ang decentralization kundi serye ng mga pagpili tungkol sa tiwala at verification. Habang patuloy na nagbabago at lumalawak ang mga cyber operation ng North Korea, tumitindi ang presyur sa industriya na gawing default ang seguridad sa halip na irekomenda lamang ito. Dapat maging pinakamadaling gamitin ang mga pinakaligtas na opsyon, hindi nakatago sa teknikal na dokumentasyon.
Mahahalagang Punto
- Pinaghihinalaang ninakaw ng Lazarus Group ng North Korea, partikular ng pangkat na TraderTraitor, ang humigit-kumulang $290 milyon na halaga ng mga rsETH token mula sa KelpDAO noong Abril 18, 2026
- Sinamantala ng pag-atake ang configuration na iisa lang ang verifier sa cross-chain infrastructure ng KelZero, kaya nakagawa ang mga hacker ng mga palsipikadong verification message at natangay ang pondo
- Nakompromiso ng mga umaatake ang mga RPC node at nagsagawa ng mga DDoS attack upang mapilitan ang sistema na umasa sa mga mapanlinlang na mapagkukunan ng datos
- Nagdulot ang heist ng sistemikong pagkalat ng epekto sa DeFi, kaya napilitan ang Aave na mag-freeze ng mga merkado at nag-udyok ito ng $8 bilyong withdrawal mula sa mga lending protocol
- Hayagang nagtatalo ang LayerZero at KelpDAO tungkol sa pananagutan: tinukoy ng LayerZero ang mga hindi ligtas na pasya sa configuration, samantalang iginiit ng KelpDAO na sinunod nito ang mga default na setting
- Ito ang ikalawang malaking pagnanakaw ng crypto na kinasangkutan ng North Korea noong Abril 2026, kasunod ng $285 milyong heist mula sa Drift Protocol
- Na-freeze ng Security Council ng Arbitrum ang humigit-kumulang $71 milyon ng ninakaw na pondo, habang hinugasan ang karamihan nito sa pamamagitan ng Tornado Cash
- Tinataya ng mga panel ng United Nations na mahigit $3 bilyon na ang ninakaw ng North Korea sa cryptocurrency mula 2017 upang pondohan ang pagpapaunlad ng mga sandatang nuklear
