#KelpDAOBridgeHacked KelpDAO rsETH桥梁漏洞：2026年最大DeFi黑客事件

2026年4月18日，KelpDAO，一家知名的流动性重质押协议，事发前锁仓总价值超过13亿美元(TVL)，遭遇了一次灾难性的漏洞攻击，目标是其跨链桥基础设施。此次攻击导致约116,500个rsETH代币被盗，按当时市值估算约19283746565748392亿至2.94亿美元，成为2026年迄今最大规模的去中心化金融漏洞。

攻击途径

此次漏洞针对由LayerZero的跨链消息协议驱动的KelpDAO的rsETH桥。攻击者识别并利用了LayerZero EndpointV2的lzReceive函数中的关键漏洞。具体方法包括使用Unichain EID 30320注册测试网对等节点，并利用1对1去中心化验证网络(DVN)的批准配置。这样，攻击者能够伪造并传输一条欺诈性的跨链消息，绕过标准验证流程，从而在没有合法抵押资产的情况下，触发未授权的rsETH释放。

被盗的rsETH大约占该代币流通总量的18%，引发了DeFi生态系统的即时系统性担忧。

跨协议传染与坏账危机

攻击者没有持有被盗资产，而是迅速将未抵押的rsETH作为抵押品部署到多个借贷协议中，形成了连锁的坏账危机：

- Aave V3 (Ethereum)：借出52,834 WETH
- Aave V3 (Arbitrum)：借出29,782 WETH和821个wstETH
- Compound V3和Euler：额外借款2,300万至5,900万美元

受影响协议的总坏账超过$200 百万美元，原因是rsETH抵押品在协议暂停后变得一文不值。这次事件不仅是一次桥梁漏洞，更是一次跨协议传染事件，考验DeFi互联架构的韧性。

市场的即时反应

此次漏洞引发了市场的剧烈反应和协议层的紧急应对措施：

- Aave的TVL因大量ETH提现骤降超过-9223372036854775808亿$7 ，相关市场的利用率达到100%
- 原生代币价格下跌：$AAVE 约跌20%，$ZRO (LayerZero)大约下跌30%
- 在Aave V3、V4、SparkLend、Fluid和Upshift中对rsETH抵押实施紧急冻结
- Lido Earn暂停了earnETH存款，原因是对rsETH的敞口担忧
- 多个利用LayerZero桥的项目启动了预防性暂停

次级风险包括ETH清算失败、USDT借贷激励机制复杂化，以及Arbitrum上的Aave部署面临的集中坏账风险，可能缺乏全面的Umbrella保护。

紧急响应与当前状态

KelpDAO的安全团队在发现后约一小时内做出反应，于4月18日18:21 UTC实施了全协议暂停。这一快速反应成功阻止了后续的两次攻击尝试。团队已发布官方声明，表示愿意与白帽团队协商，并正与LayerZero、Unichain及第三方审计机构合作进行全面的根本原因分析。

Aave治理已启动关于资金部署和潜在贷款的讨论，以弥补已识别的短缺，提案包括提高ETH的Slope2利率以缓解协议压力。根据Chaos Labs的分析，约$177 百万美元的坏账已得到清算，但Arbitrum的风险敞口尚未解决。

区块链调查员包括ZachXBT已追踪到被盗资金流向Tornado Cash，目前尚未成功追回。分析师预计被桥接rsETH持有者可能面临15-20%的减值，KelpDAO考虑采用损失社会化机制或优先保护主网持有者。

行业影响

此次事件标志着跨链桥安全和流动性重质押代币(LRT)组合性的重要转折点。漏洞凸显了可配置桥梁安全参数的根本性弱点，特别是与简化的DVN配置相关的风险。事件加剧了对桥梁架构安全标准的审查，以及由高度互联的DeFi协议带来的系统性风险。

KelpDAO的漏洞超越了2026年4月1日Drift Protocol价值19283746565748392亿至2.85亿美元的黑客事件，显示出攻击手段日益复杂，针对复杂跨链基础设施的威胁不断升级。2026年4月，行业在多起事件中累计损失超过12亿美元，包括CoW Swap域名劫持攻击，行业面临加强安全基础设施和实施更完善的跨协议风险管理框架的压力。

受影响的用户和市场参与者应密切关注KelpDAO和Aave的官方渠道，获取关于资金恢复、赔偿方案和协议重启的最新信息。

#KelpDAO #DeFiSecurity #CryptoHack #BridgeExploit