El 18 de abril, el protocolo Kelp DAO fue objeto de un ataque a través del contrato OFT de LayerZero. El hacker llamó a la función lzReceive en EndpointV2 y extrajo 116.500 rsETH por un valor aproximado de 293 millones de dólares. La billetera del atacante había sido preparada con antelación mediante Tornado Cash.
Durante 46 minutos no se tomaron medidas — era sábado. En ese tiempo, el atacante logró convertir la mayor parte de los fondos en ETH y WETH a través de Aave V3 y V4, acumulando más de 236 millones de dólares. Solo después de esto, el equipo de Kelp DAO activó una pausa en los contratos principales; las dos intentos posteriores de explotación fueron bloqueados.
Aave congeló los mercados de rsETH en V3 y V4 como medida de protección. El protocolo en sí no fue hackeado, pero debido a las deudas insalvables generadas por el ataque, el token AAVE cayó en un 18%. En la comunidad se escuchan llamados a retirar WETH de Aave V3 Core por temor a liquidaciones en cadena.