KelpDAO資產被盜再度敲響DeFi安全警鐘 帶給我們什麼啟示

Shaw.ai，金色財經

4月18日，加密貨幣圈迎來了2026年迄今為止最嚴重的去中心化金融（DeFi）安全事件——KelpDAO的rsETH跨鏈橋遭駭客攻擊，短短幾小時內，約116500枚rsETH被盜，按當時價格計算價值高達2.9億美元，相當於rsETH總供給量的18%。這場攻擊不僅讓KelpDAO陷入危機，更引發了整個DeFi行業的流動性恐慌，連頭部借貸平台Aave都被直接拖下水，超90億美元存款被緊急撤出，堪稱一次「金融海嘯」級別的安全事故。

可能很多人對「跨鏈橋」「rsETH」「流動性擠兌」這些詞感到陌生，別急，我們用最通俗的語言，一步步還原這場駭客攻擊的全過程，再聊聊事件的最新進展和大家最關心的問題。

一、先搞懂3個關鍵概念，輕鬆看懂事件

在說攻擊過程前，先理清3個核心名詞，不然很容易被繞暈：

• rsETH：簡單說就是「ETH的衍生品代幣」。我們知道ETH（以太坊）可以「質押」賺利息，但質押後資金會被鎖定，不能隨時用。rsETH就是把質押的ETH「打包」成的代幣，持有rsETH，就相當於持有了對這些質押ETH的所有權，既能賺質押利息，又能隨時交易、抵押，有點像「質押ETH的兌換券」。

• 跨鏈橋：不同的區塊鏈（比如以太坊、BSC）就像不同的「銀行」，跨鏈橋就是連接這些「銀行」的「轉賬通道」，讓rsETH這類代幣能在不同區塊鏈之間轉移。這次被攻擊的，就是KelpDAO搭建在LayerZero平台上的rsETH跨鏈橋。

• LayerZero DVN模塊：可以理解為跨鏈橋的「安檢員」，負責驗證跨鏈交易的真實性——比如確認你確實在A鏈轉了代幣，才會允許在B鏈發放對應的代幣。正常情況下，為了安全，會有多個「安檢員」（多重驗證器）一起審核，但KelpDAO只設置了1個「安檢員」（單一驗證器），這就給了駭客可乘之機。

二、駭客攻擊全過程：3步盜走2.9億美元，堪稱「教科書級」操作

這次駭客攻擊非常隱蔽且高效，全程不到1小時就完成了核心操作，步驟清晰，針對性極強，具體可以分為3步：

第一步：鑽漏洞，「憑空造錢」

駭客精準發現了KelpDAO跨鏈橋的致命漏洞——依賴單一LayerZero DVN驗證器。正常情況下，跨鏈鑄造rsETH需要有真實的ETH質押作為支撐，但駭客通過技術手段，偽造了跨鏈交易的驗證消息，欺騙了這個唯一的「安檢員」。

更具體地說，駭客提前入侵了LayerZero DVN依賴的RPC節點，替換了節點的運行程序，還通過DDoS攻擊打掉了正常的節點，迫使「安檢員」只能依賴被篡改的節點獲取資訊。這樣一來，駭客就成功在以太坊主網「無中生有」，鑄造出了116500枚沒有任何真實抵押的「虛假」rsETH，相當於拿着假的「質押兌換券」，卻騙過了所有人。

第二步：去借貸，「變假為真」

有了這些「虛假」rsETH後，駭客並沒有直接出售（怕被發現），而是選擇了更隱蔽的方式變現——去主流借貸平台抵押借錢。他們把這些假rsETH存入Aave、Compound等9個借貸協議，其中主要是Aave v3，將其作為抵押品，借出了大量真實的WETH（ETH的包裝代幣，價值和ETH一致），相當於用「假幣」借走了「真錢」。

第三步：引發恐慌，流動性擠兌爆發

駭客的操作速度極快，大量假rsETH被抵押、大量WETH被借出，直接導致Aave v3的WETH市場流動性被徹底耗盡，利用率瞬間飆升至100%——簡單說就是，Aave里的WETH被借光了，正常用戶想提現都提不出來。

消息傳開後，市場瞬間陷入恐慌：大家擔心Aave會因為駭客的「假抵押」出現巨額壞帳，自己的存款不安全。於是，一場大規模的「流動性擠兌」爆發了——不僅WETH市場，USDC、USDT等穩定幣市場的利用率也飆升，投資者瘋狂從Aave撤出資金，48小時內，Aave平台就有超90億美元存款被轉出，整個DeFi行業的總資金規模也縮水了132億美元。

值得一提的是，KelpDAO在攻擊發生約46分鐘後就發現了異常，緊急暫停了rsETH相關的合約功能，阻止了駭客的進一步攻擊，否則損失可能會更大。而這場攻擊，也被業內認為是朝鮮Lazarus Group組織所為，其專業化的操作的痕跡十分明顯。

三、事件最新進展：各方緊急補救，壞帳問題仍待解決

攻擊發生後，KelpDAO、LayerZero、Aave等相關方迅速採取行動，截至4月23日，最新進展如下：

四、你最關心的問題，一次性說清

事件發生後，很多投資者和加密貨幣用戶都有不少疑問，這裡整理了最常見的5個問題，用通俗的語言解答：

1. 駭客為什麼能成功？核心原因是什麼？

核心原因是KelpDAO的「安全配置失誤」——把跨鏈橋的安全完全交給了一個「安檢員」（單一DVN驗證器）。LayerZero其實早就提醒過，這種配置風險極高，但KelpDAO沒有重視。駭客正是抓住了這個漏洞，通過篡改節點、偽造驗證消息，實現了「無抵押造幣」，本質上是「單點信任」引發的安全事故，而非代碼本身的漏洞。

2. 被盜的2.9億美元，還能追回來嗎？

難度很大，但並非完全沒有可能。目前LayerZero和相關機構正在配合執法部門追蹤駭客資金，駭客雖然用了隱私工具混淆資金來源，但鏈上交易的痕跡無法完全消除。不過，考慮到駭客的專業性（疑似APT組織），且部分資金可能已被轉移到其他地方，能追回的金額暫時無法確定。

3. 普通用戶的資金會受影響嗎？

分兩種情況：① 如果你在Aave等平台沒有抵押rsETH，只是單純存款（比如存USDC、USDT、ETH），目前來看資金是安全的，Aave已經採取了凍結措施，後續會逐步恢復正常；② 如果你持有rsETH，或者用rsETH做了抵押，可能會面臨損失，具體要看KelpDAO後續的壞帳處理方案。

4. 這次事件和之前的跨鏈橋攻擊有什麼不一樣？

最大的不同是「連鎖反應極強」。以往的跨鏈橋攻擊大多隻影響單一項目，而這次因為rsETH被多個主流借貸協議接受作為抵押品，駭客的操作直接引發了全行業的流動性擠兌，波及範圍更廣，對行業信任的衝擊也更大。另外，這次攻擊是「配置失誤+基礎設施入侵」結合，而非單純的私鑰被盜或代碼漏洞。

5. 後續DeFi行業會有什麼變化？

最直接的變化是「安全配置升級」——未來跨鏈橋大機率會強制要求「多重驗證器」，避免單點失效；同時，借貸協議會加強抵押品審核，對LRT這類衍生品代幣的准入會更嚴格。此外，行業可能會推動「鏈上自動熔斷機制」，在出現異常交易時自動暫停相關操作，避免損失擴大，讓DeFi的風險管理更完善。

五、總結：一場給全行業敲醒的警鐘

這場2.9億美元的駭客攻擊，本質上是「僥倖心理」和「安全疏忽」導致的悲劇——KelpDAO忽視了LayerZero的安全建議，採用了高風險的單一驗證器配置，最終給了駭客可乘之機。而事件的連鎖反應，也暴露了DeFi「樂高式」結構的隱患：一個環節出問題，可能會牽連整個行業。

對於普通用戶來說，這也是一次重要的提醒：加密貨幣投資本身就有風險，選擇項目時，不僅要看其收益，更要關注其安全配置和風險管理能力，避免因為項目方的疏忽，讓自己的資金蒙受損失。

目前，事件的後續處理仍在推進中，壞帳如何分擔、跨鏈橋安全如何升級、用戶補償方案如何落地，仍是行業關注的焦點。此外，此次事件也推動監管層面的關注，部分國家加密監管機構已表示，將加快出台跨鏈橋安全監管細則，規範再質押代幣的發行和流通，防範系統性風險。我們也會持續關注進展，為大家帶來最新消息。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。