#KelpDAOBridgeHacked

KelpDAO 桥梁漏洞攻击 - 2026年4月18日：事件经过与当前状态

2026年4月18日，流动性再抵押协议KelpDAO遭遇了今年最大的DeFi漏洞事件之一：其跨链桥被攻破。攻击者设法洗劫了大约116,500个 rsETH 代币；事件发生时其价值约为$292 million美元。这也是2026年迄今为止规模最大的加密货币黑客事件，超过了4月初发生的 Drift Protocol 漏洞攻击。

漏洞是如何发生的

此次攻击利用了KelpDAO基于 LayerZero 驱动的桥梁基础设施中的关键漏洞。攻击者向KelpDAO在以太坊主网的 OFT 适配器发送了一条伪造的跨链消息，声称该消息源自 Unichain。根本原因在于桥梁安全配置出现了严重的错误配置。KelpDAO 实施了 1-of-1 的 DVN (Decentralized Verifier Network) 配置，依赖单一的 LayerZero Labs 验证器，且没有任何冗余或可选的二级验证器。这种极简的安全方案使得这条伪造消息在未经挑战的情况下通过了校验，从而触发桥梁金库向攻击者的钱包释放未有后续支撑（unbacked）的 rsETH 代币。

需要特别注意的是：这并不是 LayerZero 协议本身的漏洞。LayerZero V2 的设计是模块化的，允许项目自行选择其验证器堆栈。KelpDAO 选择了尽可能极简的安全配置，结果证明是灾难性的。

攻击者的 DeFi 行动

当攻击者获得了未有后续支撑（unbacked）的 rsETH 之后，他们立刻将其部署为多家 DeFi 协议中的抵押品，以提取最大化价值。在以太坊主网与 Arbitrum 上的 Aave V3 和 V4 市场中，攻击者在以太坊借出了约 52,834 WETH，同时在 Arbitrum 借出了 29,782 WETH 以及 821 wstETH。随后在 Compound 与 Euler 协议上也观察到了额外的借款活动，使得总提取价值达到超过 $200 million 美元。被盗资金随后通过 Tornado Cash 进行了洗钱。

即时响应与损失控制

由于包括 ZachXBT 在内的安全研究人员进行了链上监控，KelpDAO 在大约一小时内就检测到了该漏洞。该协议立刻暂停了以太坊以及其他已支持链上的桥梁，成功阻止了两次后续的攻击尝试。KelpDAO 已发布公开声明，表示愿意与攻击者开展白帽谈判。

Aave 的回应是冻结了以太坊和 Arbitrum 上 V3 与 V4 的 rsETH 市场。SparkLend、Fluid 以及 Upshift 等其他协议也采取了预防性措施。此次事件使 Aave 产生了约 $177 million 美元的不良债务，主要集中在 Arbitrum；不过以太坊主网的市场仍保持有抵押，但存在溢出效应的风险。Lido 作为预防措施暂停了 earnETH 存款，而 Ethena 与 USDT0 则在尽管不存在直接敞口的情况下提前暂停了其桥梁。

此外，还出现了次级风险：在 Aave 上，ETH 的利用率飙升至 100%，这可能会延迟清算，并造成借款激励的失衡。

当前状态与影响

截至 2026 年 4 月 19-20 日，已桥接的 rsETH 持有者可能面临 15-20% 的减记（haircuts），具体取决于后续是否开展任何恢复工作。Aave 社区正在积极讨论用于处理坏账的治理提案，并且关于是否应将 Arbitrum 与以太坊主网的仓位分别对待的争论仍在进行。

此次事件再次为 DeFi 项目敲响了警钟：需要审计其 OApp 配置，并实现多-DVN 的设置，且需要 3-4 个验证器，而不是依赖单点故障。幸运的是，目前没有其他 LayerZero OFT 项目受到该特定漏洞的影响。

安全研究人员预计将在未来几天内发布完整的根因分析。建议用户密切关注 KelpDAO、Aave 以及像 ZachXBT 这样的安全分析师的官方渠道，以获取该事件的实时更新。