DeFi 產業於 2026 年 4 月遭遇年度最嚴重的安全衝擊。2026 年 4 月 18 日 UTC 17:35 左右，流動性再質押協議 Kelp DAO 基於 LayerZero 建構的 rsETH 跨鏈橋發生大規模攻擊，攻擊者於以太坊主網無中生有鑄造約 116,500 枚 rsETH，依當時市價估值約 2.92 億美元，約占 rsETH 總流通量 18%。這起攻擊不僅成為 2026 年規模最大的單次 DeFi 安全事件，更引發全產業資金外流潮：DeFi 總鎖倉量自 2026 年初約 1,100 億美元驟降至約 824 億美元，跌幅約 25%，創下一年來新低。與過往單一協議攻擊不同，本次事件深度揭露跨鏈基礎設施配置風險、再質押資產抵押邏輯與 DeFi 協議耦合結構三重脆弱性疊加效應，值得全產業深入檢視。
四十六分鐘內的攻擊全貌
攻擊發生於 2026 年 4 月 18 日 UTC 17:35。攻擊者透過 Tornado Cash 取得初始資金後，調用 LayerZero EndpointV2 合約上的 lzReceive 函數，向 Kelp DAO 部署於以太坊主網的橋接合約傳入一則偽造的跨鏈訊息。該訊息聲稱源鏈已有 rsETH 資產被鎖定，要求目標鏈釋放等額 rsETH。合約未對跨鏈訊息的來源鏈進行嚴格驗證，直接執行釋放操作，將 116,500 枚 rsETH 轉入攻擊者控制的地址。
攻擊的致命關鍵在於後續操作：駭客並未選擇直接於二級市場拋售 rsETH——由於流動性本就有限，大額拋售將導致嚴重滑價——而是將這批資產作為抵押品存入 Aave V3 與 V4、Compound V3 等主流借貸協議，借出約 2.36 億美元的實體 WETH/ETH。
事發約 46 分鐘後，Kelp DAO 透過多簽觸發緊急暫停，成功攔截後續兩次試圖再提取合計約 8 萬枚 rsETH 的攻擊，避免損失進一步擴大。隨後，Aave 緊急凍結 V3 與 V4 上所有 rsETH 相關市場，Ethena、Curve Finance、ether.fi 等多家協議亦相繼凍結或暫停與 LayerZero 相關的跨鏈功能。
攻擊時間軸
| 時間（UTC） | 事件 |
|---|---|
| 17:35 | 攻擊者發起首筆偽造跨鏈交易，成功鑄造 116,500 枚 rsETH |
| 17:35–17:40 | 攻擊者將 rsETH 分批存入 Aave 等借貸協議，借出 WETH/ETH |
| 約 18:20 | Kelp DAO 透過多簽緊急暫停合約，攔截後續攻擊 |
| 攻擊後數小時 | Aave 凍結 rsETH 市場，多家協議暫停 LayerZero 功能 |
鏈上數據全景：前二十大公鏈 TVL 普遍承壓
根據 DeFiLlama 最新數據（截至 2026 年 4 月 21 日），DeFi 產業總鎖倉量於攻擊事件後回落至約 824 億美元，單日回撤約 5.6%，此一單日跌幅之嚴重程度接近 2024 年以來所有交易日的前 2% 分位。分板塊觀察，借貸市場受創最深，TVL 下滑約 13%；流動性質押板塊下跌約 3.4%；去中心化交易所與衍生品協議跌幅則介於 2% 至 3%。
以太坊作為占 DeFi TVL 總量 53.91% 的主導公鏈，過去 30 日內 TVL 下跌 17.91%，目前鎖倉量約為 461.7 億美元，較攻擊浪潮前逾 560 億美元明顯收縮。前二十大公鏈中，除少數鏈錄得微幅正成長外，絕大多數均呈現月度回調態勢，資金外流壓力於攻擊後明顯加速。
首先，攻擊事件加劇原本已存在的資金外流趨勢。以太坊月跌幅達 17.91%，而先前已因市場整體風險偏好下降而承壓。其次，部分公鏈於週期數據上出現微幅反彈（如 Sei 7 日 +7.85%、PulseChain 7 日 -0.24% 但月度為 +13.77%），顯示資金並非完全撤離，而是在不同鏈間進行避險性重配。第三，月跌幅最深的公鏈集中於與以太坊再質押生態或跨鏈橋基礎設施高度耦合的鏈，如 Mantle（-52.01%）、Ethereal（-18.55%）、Hyperliquid L1（-17.73%），反映攻擊事件透過協議耦合鏈條產生的定向衝擊效應。
漏洞根源：被忽略的單點配置
本次攻擊的核心漏洞並非智能合約程式碼層面的缺陷，而是部署參數的安全配置錯誤。Kelp DAO 的 rsETH 跨鏈合約採用 1/1 DVN（Decentralized Verifier Network，去中心化驗證者網路）配置，即僅需單一驗證節點確認即可核准跨鏈訊息，而 LayerZero 官方文件建議的預設配置為 2/2 多重驗證機制。
攻擊者透過以下技術路徑完成攻擊：首先取得 LayerZero DVN 所依賴的 RPC 節點列表，攻破其中兩個獨立集群的 RPC 節點並替換其 op-geth 執行檔；接著採選擇性欺騙策略，僅對 DVN 回傳偽造的惡意資料包，對其他 IP 則回傳真實資料以規避偵測；同時對未被攻陷的 RPC 節點發動 DDoS 攻擊，迫使 DVN 容錯切換至已被投毒的節點；在完成偽造訊息驗證後，惡意執行檔自毀以清除日誌。
LayerZero Labs 於事後發布事件說明，初步將此次攻擊歸因於北韓 Lazarus Group 旗下的 TraderTraitor 小組，該小組亦被指涉本月稍早的 Drift Protocol 攻擊事件。LayerZero 強調，此次事件僅影響 Kelp DAO 的 rsETH 配置，其他採多 DVN 冗餘配置的應用未受波及，協議本身並無漏洞。
責任歸屬爭議
事件發生後，Kelp DAO、LayerZero 與 Aave 三方間的責任歸屬爭議迅速升溫。LayerZero 認為，採用 1/1 DVN 配置的 Kelp DAO 為本次事件最直接的責任方，如此明顯的「單點故障」設置存在根本性缺陷。Kelp DAO 創辦人 Charlie 則於 X 平台承認團隊誤用 1/1 DVN 配置，並明確表示將為所有受影響用戶制定全額補償計畫，不採用社群普遍擔憂的「社會化分攤損失」方案。
同時，Yearn Finance 核心開發者 banteg 對 LayerZero 將事件定性為「RPC 投毒」提出質疑，認為攻擊者已進入 LayerZero 的信任邊界內部，低估了攻擊嚴重性。第三方分析機構則認為，儘管 1/1 DVN 為 Kelp DAO 自主選擇，但作為底層跨鏈協議設計方，LayerZero 亦應承擔部分架構設計層面的責任。
值得注意的是，Aave 前風險團隊 BGD Labs 曾於去年 1 月明確指出 Kelp DAO 的 DVN 配置問題，但 Kelp 雖接受建議卻未作出實質調整，Aave 亦未持續跟進監督。此一歷史細節顯示，安全警告的傳遞與落實間存在結構性斷裂。
產業衝擊：Aave 壞帳與協議連鎖反應
Aave 是本次事件中受衝擊最嚴重的協議。攻擊者利用竊取的 rsETH 作為抵押品於 Aave 借出 ETH，導致約 1.77 億至 1.96 億美元壞帳無法透過常規清算機制回收。Aave V3 多個市場的 ETH 資金利用率一度達 100%，引發大規模提現潮。
Aave 的 TVL 於攻擊後 48 小時內自約 264 億美元驟降至約 170 億美元，降幅約 94.5 億美元，創協議史上最劇烈的短期資金流出紀錄。AAVE 代幣價格於事件發生後出現約 10% 至近 20% 的下挫。
截至 2026 年 4 月 21 日，Gate 行情數據顯示：AAVE 報價約 105.73 美元，ETH 報價約 2,309 美元。上述價格均以 Gate 平台即時行情為準，單位統一為美元。
連鎖反應清單
除 Aave 外，多家主流協議亦相繼採取緊急應對措施。Ethena 延長 LayerZero OFT 橋的暫停時間；Curve Finance 暫停 LayerZero 基礎設施，影響 CRV 從 BNB、Sonic、Avalanche 等鏈的橋接；ether.fi 與 Tron DAO 同步凍結其 LayerZero OFT 橋；SparkLend 與 Fluid 亦同步凍結涉及 rsETH 的倉位。Compound V3 承擔約 3,940 萬美元壞帳曝險，Euler 約為 84 萬美元。
本次事件的連鎖反應揭示 DeFi 產業一項結構性脆弱點：LRT 類包裝資產（如 rsETH）底層價值高度依賴跨鏈橋安全性，而主流借貸協議將此類高風險資產納入抵押品後，一旦底層出現漏洞，衝擊將透過協議耦合鏈條瞬間蔓延至整個借貸生態。DeFi 的「樂高結構」於風險傳導層面展現高度非對稱放大效應。
壞帳處置的三條路徑與兩難困境
DeFiLlama 創辦人 0xngmi 就 Kelp DAO 事件善後方案提出三種可能情境推演：
路徑一：社會化分攤損失。 Kelp DAO 對所有 rsETH 持有人統一按比例扣減約 18.5% 的損失。在此方案下，Aave 主網所有 rsETH 抵押倉位權益將完全抹除，並產生約 2.16 億美元壞帳。Umbrella 協議可承擔約 5,500 萬美元，Aave 國庫再額外承擔約 8,500 萬美元，仍剩餘約 7,600 萬美元缺口需由 Kelp DAO 透過借貸或出售代幣填補。
路徑二：放棄 L2 用戶。 Kelp DAO 僅保障主網 rsETH 持有人權益，將 L2 上 rsETH 視為無價值資產。Aave L2 目前有約 3.59 億美元 rsETH 抵押品，若全數按最大槓桿計算，將產生約 3.41 億美元壞帳，且完全無法獲得 Umbrella 協議承保。Aave 最可能放棄 Arbitrum、Mantle 和 Base 等損失最大的 L2 市場。
路徑三：攻擊前快照返還。 Kelp DAO 僅對攻擊發生前的 rsETH 持有人依快照全額償還，後續買入或轉移的持有人自行承擔損失。但因資金於攻擊後已大量流動，且 DeFi 協議本質為流動性池，無法真正區分不同批次存款人，技術執行難度極高，實際操作幾乎不可能。
三種路徑各有利弊：路徑一最為公平，但需 Aave 國庫與 Kelp DAO 共同承擔大量財務壓力；路徑二對 Aave 主網影響最小，但將嚴重損害 L2 生態信譽並引發連鎖反應；路徑三理論上能最小化擴散影響，但執行可行性極低。截至 2026 年 4 月 21 日，Kelp DAO 創辦人雖已表態將全額補償用戶，但具體補償方案與資金來源尚未公布，善後方案實際走向仍存高度不確定性。
結語
Kelp DAO 跨鏈橋攻擊事件以 2.92 億美元的單次損失規模，觸發 DeFi 產業於 2026 年最嚴重的一波系統性資金外流。前二十大公鏈 TVL 普遍回調、Aave 數十億美元規模資金撤離、多家主流協議緊急凍結，共同勾勒出一幅產業級流動性收縮圖景。
更深層來看，本次事件揭示的核心矛盾並非單一智能合約漏洞，而是跨鏈基礎設施配置風險、再質押資產抵押邏輯缺陷與協議間高度耦合結構三重脆弱性疊加。單點驗證配置隱患、LRT 資產風險錯配，以及安全審計對配置層面風險的覆蓋盲區，構成一組相互關聯的結構性難題。
從安全實務角度觀察，產業亟需建立涵蓋智能合約程式碼、部署參數配置與跨鏈驗證架構的全方位安全審計標準，將 DVN 門檻設置、RPC 節點冗餘等配置項納入審計強制範圍。對用戶而言，參與再質押類協議時，除關注協議本身收益率外，亦應同步審視其跨鏈橋安全配置（如驗證節點數量與門檻值）、底層資產儲備透明度，以及協議方於歷史安全事件中的應對紀錄。
DeFi 產業的長期健康發展，不僅仰賴流動性與收益率的持續成長，更需安全基礎設施與風險隔離機制的系統性建設。每一次重大安全事件，都是一次結構性脆弱點的揭露，也是產業治理能力與危機應對機制的極限測試。Kelp DAO 事件全貌仍在持續展開，後續善後執行與制度建設，將決定此事件最終成為產業成熟進程的轉捩點，抑或僅僅是一樁被遺忘的安全事故。
