Swell приостановил депозиты и вывод средств по токенам swETH и rswETH 23 октября 2026 года после того, как исследователи сообщили о компрометации административных и операционных горячих ключей протокола. Из-за действий злоумышленника обменные курсы ликвидных стейкинг-токенов начали расти без реального обеспечения в ETH, что искажало стоимость активов на ончейн-площадках.
Первые тревожные сигналы появились 22 октября. Исследователь безопасности Spreek сообщил, что некто с доступом к горячим ключам Swell DAO поднимал курс swETH и rswETH на максимально допустимые 1% в час, не добавляя за этим нового ETH. Позже основатель Phylax Systems Odysseus уточнил, что зафиксировано пять таких повышений: три по swETH и два по rswETH. Согласно коду оракула Swell, отправлять снапшоты переоценки может только роль BOT, работающая на горячих ключах. Записи в Ethereum показывают, что адрес отправлял снапшоты swETH 21 октября в 23:02 UTC, а затем 22 октября в 00:04 и 01:08 UTC.
К 22 октября swETH торговался примерно на 3% выше базовой отметки 1,133254 ETH, а rswETH — примерно на 2% выше 1,082464 ETH. Параллельно 21 октября платформа Railway сообщила об аномальной активности в системах хранения переменных окружения клиентов. По ее данным, посторонний мог получить доступ к расшифрованным данным, включая API-ключи и реестровые учетные данные. В тот же день криптоисследователь Tay заявил, что атакующий вывел около 371 000 долларов с кошельков как минимум в 19 EVM-сетях, использовавших ключи на Railway. Прямая связь между инцидентом Railway и взломом Swell не подтверждена; Spreek назвал совпадение по времени лишь предположением.
По данным Spreek, были развернуты четыре вредоносных контракта апгрейда, которые при исполнении могли вывести около 2 500 ETH. Odysseus оценил остаток Swell в 2 513 ETH и подчеркнул, что потери не подтверждены. На момент публикации ни один из апгрейдов не был исполнен и не поставлен в очередь через мультиподпись. В более позднем таймлайне отмечалось, что первая аномальная активность зафиксирована около 14:25 UTC 21 октября, когда скомпрометированный оракул-бот пополнил кошелек деплоера. Затем газ был выведен с десятков горячих ключей Swell в сетях Ethereum, Arbitrum, HyperEVM и Base на центральный кошелек атакующего. Кроме того, бот перенаправил получателей наград EigenLayer для десятков StakerProxies rswETH на кошелек злоумышленника.
Сначала Swell назвал сообщения о подозрительной активности в контрактах swETH и rswETH предметом проверки и заявил, что ETH не покидал контракты депозитов и вывода. Однако 23 октября протокол пошел на заморозку: ввод и вывод по обоим токенам остановлены до восстановления корректного значения NAV. Swell работает с партнерами по безопасности, включая Seal911, и рекомендует доверять только официальным каналам.
Объем заблокированных средств в ликвидном стейкинге и рестейкинге Swell на 23 октября составлял около 29 млн долларов в каждом сегменте, а рыночная капитализация rswETH оценивалась в диапазоне от 27 млн до 58 млн долларов. Инцидент напоминает прежние случаи с KelpDAO и Fearless Wallet, когда утечка ключей или искаженная переоценка распространялись на кредитные протоколы и вторичные рынки, использующие ончейн-курсы в качестве обеспечения.
