Kelp DAO 旗下流動性再质押代币 rsETH 的 LayerZero 跨链桥于 4 月 19 日（周六）遭到黑客攻击，成为 2026 年迄今最大的 DeFi 安全事件。多个主要 DeFi 协议已相继采取紧急应对措施，冻结或暂停与 LayerZero 相关的功能。
攻击机制：伪造跨链消息绕过桥合约验证
此次攻击的核心在于 LayerZero 消息验证的漏洞。攻击者通过伪造合法的跨链消息，使桥合约误认其为已收到有效请求，从而直接释放 116,500 枚 rsETH 至攻击者控制的地址。该攻击模式并未直接破坏 Aave 等借贷协议的智能合约——攻击者只需将被盗资产作为“合法”抵押品存入，即可借出大量 WETH，使相关协议面临无法追回的坏账敞口。
各主要协议紧急应对措施一览
Aave：rsETH 在 V3 和 V4 上仍被冻结；以太坊主网上的 rsETH 具有完整抵押支持；WETH 储备在受影响市场（以太坊、Arbitrum、Base、Mantle、Linea）同步冻结；正在积极评估潜在解决方案。
Ethena：延长 LayerZero OFT 桥的暂停时间；确认 USDe 抵押品支持率维持在 100% 以上。
Fluid：推出 aWETH 赎回协议，允许 ETH 借贷者赎回为 wstETH 或 weETH，恢复流动性并降低清算风险，初始容量限制为 10 亿美元 ETH。
Morpho：暂停 Arbitrum 上 MORPHO 的 OFT 桥；智能合约安全，风险敞口仅约 100 万美元（分布在 2 个隔离市场）；完全隔离市场设计确保其他 Vault 不受影响。
Curve Finance：暂停 LayerZero 基础设施，影响 CRV 从 BNB、Sonic、Avalanche 等链的桥接及 crvUSD 快速桥接（L2 慢速桥接仍正常）。
Reserve：临时暂停 eUSD 和 USD3 的铸造、再平衡及 RSR 赎回；赎回功能正常开放；ETH+ 和 bsdETH 不含 rsETH 抵押品，为零风险。
确认未受影响协议：Maple Finance（syrupUSDC、syrupUSDT 不受影响）、Polygon 生态（含 Katana、Vaultbridge）、EtherFi 协议流动性金库均确认无损失风险。Hyperwave（Hyperliquid 生态）作为预防措施暂停 LayerZero 桥接。
LayerZero 官方声明与后续计划
LayerZero 表示，已全面了解 rsETH 漏洞事件，自事件发生以来持续与 KelpDAO 积极修复，并确认其他应用均保持安全。LayerZero 计划在获取全部信息后，与 KelpDAO 联合发布完整的事后分析报告。
常见问题
rsETH LayerZero 桥遭受的攻击具体如何实施？
攻击者伪造 LayerZero 跨链消息，使桥合约误认其为合法请求，直接释放 116,500 枚 rsETH 至攻击者控制的地址。攻击并未直接破坏 Aave 等借贷协议本身，而是利用被盗的 rsETH 作为抵押品借出 WETH，在协议贷款账簿上制造了无抵押坏账。
rsETH 目前在 Aave 上的状态如何，何时可能恢复？
rsETH 在 Aave V3 和 V4 上目前仍处于冻结状态，WETH 储备在以太坊、Arbitrum、Base、Mantle、Linea 市场中同步冻结。Aave 表示以太坊主网上的 rsETH 有完整抵押支持，但尚未宣布明确的恢复时程，目前正在积极评估潜在解决方案。
哪些协议在此次事件中确认未受影响？
Polygon 生态（含 Agglayer、Katana、Vaultbridge）、EtherFi 协议流动性金库、Maple Finance 的 syrupUSDT 和 syrupUSDC，以及 Reserve 的 ETH+ 和 bsdETH 均确认不含 rsETH 敞口。Morpho 的其他所有 Vault 因隔离市场设计亦确认不受影响，仅 2 个隔离市场有约 100 万美元有限敞口。
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Cuộc tấn công lừa đảo Ethereum chiếm đoạt $585K Từ bốn người dùng, một nạn nhân mất $221K WBTC
Một cuộc tấn công lừa đảo Ethereum có phối hợp đã chiếm đoạt $585,000 từ bốn nạn nhân, lợi dụng quyền truy cập của người dùng thông qua một liên kết lừa đảo. Sự việc này nhấn mạnh việc mất tiền nhanh chóng thông qua kỹ thuật lừa đảo xã hội, ngay cả khi kẻ giả danh mang vỏ bọc hợp pháp.
GateNews1giờ trước
Hãy chú ý đến nội dung ký kết! Vercel bị tấn công tống tiền 2 triệu USD, cảnh báo về an toàn bảo mật của front-end trong các giao thức mã hóa
Nền tảng phát triển đám mây Vercel đã bị tin tặc xâm nhập vào ngày 19 tháng 4. Kẻ tấn công đã giành quyền truy cập thông qua một công cụ AI bên thứ ba được nhân viên sử dụng, đồng thời đe dọa tống tiền 2 triệu USD. Mặc dù dữ liệu nhạy cảm không bị truy cập, nhưng có thể đã bị khai thác các dữ liệu khác. Sự việc này đã dấy lên mối lo ngại về an ninh trong cộng đồng tiền mã hóa; hiện tại Vercel đang tiến hành điều tra và khuyến nghị người dùng thay đổi khóa.
ChainNewsAbmedia2giờ trước
KelpDAO mất $290M trong cuộc tấn công LayerZero của Lazarus Group
KelpDAO phải chịu khoản lỗ $290 triệu do một sự cố xâm nhập bảo mật tinh vi liên quan đến Tập đoàn Lazarus. Cuộc tấn công đã khai thác các điểm yếu trong cấu hình của hệ thống xác minh của họ và làm nổi bật rủi ro khi dựa vào một thiết lập xác minh chỉ tại một điểm. Các chuyên gia trong ngành nhấn mạnh sự cần thiết phải cải thiện cấu hình bảo mật và sử dụng cơ chế xác minh nhiều lớp để ngăn các sự cố trong tương lai.
CryptoFrontier3giờ trước
LayerZero 回應 Kelp DAO 2.92 億事件：指 Kelp 自選 1-of-1 DVN 配置，駭客為北韓 Lazarus
LayerZero đã ra tuyên bố liên quan đến vụ tấn công nhắm vào Kelp DAO trị giá 292 triệu USD, cáo buộc rằng cấu hình Kelp chọn 1-of-1 DVN khiến sự cố trở nên có thể xảy ra, và thủ phạm là tập đoàn Lazarus của Bắc Triều Tiên. LayerZero nhấn mạnh sự kiện này xuất phát từ các lựa chọn cấu hình và sẽ không còn hỗ trợ các thiết lập dễ tổn thương như vậy nữa. Ngoài ra, vẫn còn tranh cãi về việc quy trách nhiệm, và không đưa ra phương án bồi thường.
ChainNewsAbmedia3giờ trước
Tin tặc DeFi đánh cắp 600 triệu USD vào tháng 4, Kelp DAO và Drift chiếm 95% khoản lỗ theo tháng
Trong tháng 4 năm 2026, chỉ trong vòng 20 ngày, các giao thức mã hóa đã ghi nhận thiệt hại do các cuộc tấn công của tin tặc vượt quá 606 triệu USD, trở thành kỷ lục tổn thất theo tháng nghiêm trọng nhất kể từ sự kiện rò rỉ dữ liệu trị giá 1,4 tỷ USD của các sàn giao dịch vào tháng 2 năm 2025. Hai vụ tấn công KelpDAO và Drift Protocol chiếm tổng cộng 95% thiệt hại trong tháng 4 và 75% tổng thiệt hại 771,8 triệu USD tính đến nay trong năm 2026.
MarketWhisper3giờ trước
Vụ rò rỉ của Vercel liên quan đến sự cố Context.ai do công cụ AI gây ra, làm tăng rủi ro cho các nền tảng front-end crypto
Vercel xác nhận một sự cố vi phạm an ninh do một công cụ AI bị xâm nhập gây ra, dẫn đến việc đánh cắp dữ liệu của nhân viên và khách hàng. Sự cố này tạo ra rủi ro cho hệ sinh thái Web3, và kẻ tấn công đang cố gắng bán dữ liệu bị đánh cắp với giá $2 triệu. Vercel đang xử lý tình huống cùng với lực lượng thực thi pháp luật và các chuyên gia ứng phó sự cố.
GateNews4giờ trước
