在2026年4月18日，KelpDAO 的流动再质押协议遭遇本年度最大的一起 DeFi 漏洞，攻击者从其由 LayerZero 支撑的桥接处提取了大约 116,500 rsETH，价值约 2.92 亿美元。LayerZero Labs 将此次攻击归咎于朝鲜的 Lazarus Group 子组“TraderTraitor”，并将 KelpDAO 的单一验证器桥配置定位为根本原因，使被妥协的 RPC 节点能够伪造有效的跨链消息。
攻击者在执行前大约十小时通过 Tornado Cash 为钱包预筹资金，然后利用验证器设置触发未授权的资金释放。LayerZero 的调查显示，其分布式验证网络（DVN）中的三个节点中有两个节点已被污染，导致切换到受损节点。适当强化的多验证器配置应当需要独立 DVN 之间的共识，从而防止此类漏洞。LayerZero 自那时起拒绝对未来的 1-of-1 DVN 设置签名消息。
漏洞发生后，被盗的 rsETH 被作为抵押存入 Aave V3，造成超过 2.36 亿美元的不良债务，集中在 rsETH-WETH 交易对。Aave 的 Umbrella 储备被动用以弥补赤字，并对包括 SparkLend、Fluid、Lido Finance 和 Ethena 在内的借贷平台实施市场冻结。Aave 的 TVL（总锁定价值）从 264 亿美元下降至接近 200 亿美元，凸显了跨链互操作性漏洞的系统性影响。
Tron 创始人孙宇晨因涉及 Aave 的头寸，已提取大约 65,584 ETH（1.54 亿美元）以减轻个人损失，然后在 X 平台上直接向黑客求和。孙宇晨警告称，若继续不合作，可能使 KelpDAO 与 Aave 双双陷入困境，呼吁归还被窃资金以维持 DeFi 的稳定。业内领袖强调应加强跨链桥安全标准并采用冗余配置，以防范国家级威胁行为者。
此事件重新点燃了对严格的集成审计、实时监控和去中心化验证框架的呼声，以加强跨链基础设施的安全。随着四月份的总黑客损失现已超过 6.06 亿美元，协议团队和安全公司正在加紧实施防御措施，以应对未来更高知名度的攻击。
评论 (0)