Buy Crypto
Markets
Spot
FuturesBTC
Earn
Event Center
More
0-Fee Fest
概述 2026年4月18日,去中心化金融(DeFi)世界迎来了有史以来最具破坏性的一次打击。液态重质押协议Kelp DAO旗下的跨链桥遭到黑客攻击,116,500枚rsETH被盗,价值约2.93亿美元,占rsETH总流通量的18%。攻击者随即将盗来的代币存入Aave等借贷协议作为抵押,借出超过2.36亿美元的真实资产,最终在DeFi生态中留下了高达数亿美元的坏账黑洞。这一事件不仅是2026年迄今规概述 2026年4月18日,去中心化金融(DeFi)世界迎来了有史以来最具破坏性的一次打击。液态重质押协议Kelp DAO旗下的跨链桥遭到黑客攻击,116,500枚rsETH被盗,价值约2.93亿美元,占rsETH总流通量的18%。攻击者随即将盗来的代币存入Aave等借贷协议作为抵押,借出超过2.36亿美元的真实资产,最终在DeFi生态中留下了高达数亿美元的坏账黑洞。这一事件不仅是2026年迄今规

2026最大加密安全事件:Kelp DAO跨链桥遭黑客攻击,损失2.93亿美元,Aave等DeFi协议深陷坏账危机

概述

 
2026年4月18日,去中心化金融(DeFi)世界迎来了有史以来最具破坏性的一次打击。液态重质押协议Kelp DAO旗下的跨链桥遭到黑客攻击,116,500枚rsETH被盗,价值约2.93亿美元,占rsETH总流通量的18%。攻击者随即将盗来的代币存入Aave等借贷协议作为抵押,借出超过2.36亿美元的真实资产,最终在DeFi生态中留下了高达数亿美元的坏账黑洞。这一事件不仅是2026年迄今规模最大的DeFi安全事故,更是整个加密行业值得深思的结构性警示。
 
 

Key Takeaways

 
被盗金额:2.93亿美元(116,500枚rsETH),占rsETH总流通量约18%
 
攻击媒介:LayerZero跨链消息层DVN配置漏洞(1-of-1 DVN配置 + 节点被攻陷)
 
连带受害协议:Aave V3/V4、Compound V3、Euler、SparkLend、Fluid、Lido earnETH
 
Aave坏账规模:约1.96亿美元,WETH池利用率一度达到100%
 
市场影响:AAVE代币24小时内下跌约20%,Aave TVL蒸发约66亿美元
 
资金去向:攻击者通过Tornado Cash洗钱,资产追回可能性极低
 
2026年DeFi累计损失:已超过4.5亿美元(涉及约45个协议)
 

事件回顾:46分钟内,2.93亿美元灰飞烟灭

 

攻击时间线

 
北京时间2026年4月19日凌晨1时35分(UTC 17:35),一个10小时前已通过Tornado Cash提前准备好资金的攻击者钱包,向Kelp DAO的LayerZero跨链桥发送了一条精心构造的伪造消息。
 
根据The Defiant的报道,这条消息被跨链桥系统误判为合法指令,随即释放了116,500枚rsETH至攻击者控制的钱包——而在源链上,从未有任何真实的ETH被锁定。这意味着这批rsETH是凭空"铸造"出来的,没有任何真实资产背书。
 
攻击者并未急于抛售,而是将这批无背书的rsETH存入Aave V3作为抵押品,借出大量包装以太币(WETH),随后在Aave V4上重复了相同的操作。当Kelp DAO的应急多签在46分钟后(UTC 18:21)成功冻结核心合约时,真实资产已被悉数转走。
 
此后,攻击者在UTC 18:26和18:28两次尝试再度清空约4万枚rsETH(价值约1亿美元),但均因合约已暂停而失败。
 

这不是代码漏洞,而是配置问题

 
WEEX的深度分析指出,本次攻击的根源出人意料:Kelp DAO的智能合约代码本身并无漏洞。安全研究员@0xQuit在X上表示,问题的核心是"1-of-1 DVN配置"与"DVN节点本身遭到攻陷"的叠加——即跨链消息的验证节点只有一个,且该节点被攻击者控制或欺骗。
 
Curve Finance创始人Michael Egorov对此直言:"当你只信任单一一方时,任何事情都可能发生。"
 
LayerZero协议本身并未禁止这种配置选项,Kelp DAO也没有违反任何协议规则。然而,一个"合规的"配置选择,却造成了2026年DeFi史上最大的单次损失。
 

连环崩塌:从Kelp到Aave的坏账传导

 

Aave如何深陷其中

 
攻击者将盗取的rsETH存入Aave V3(以太坊主网及Arbitrum)、Compound V3和Euler作为抵押,借出总计超过2.36亿美元的WETH和ETH。CoinDesk的报道显示,其中Aave一家承受的坏账就约达1.96亿美元。
 
一旦Kelp DAO暂停了rsETH合约,所有基于rsETH的抵押借贷头寸便失去了任何实际价值。贷款无法被清算,Aave只能持有大量一文不值的抵押品。
 
Aave创始人Stani Kulechov确认,Aave自身的智能合约并未遭到攻击,问题完全源于外部的rsETH资产。然而,这一声明并未能阻止市场的恐慌——正如bitcoin.com的报道所记录,Aave的WETH池利用率在数小时内飙升至100%,用户根本无法取回资产。
 

恐慌性挤兑与TVL蒸发

 
根据Bloomberg的报道,仅数小时内,Aave平台就遭遇了超过54亿美元的资金撤离浪潮,TVL从260亿美元以上骤降至约220亿美元,单日蒸发超66亿美元。AAVE代币在24小时内最多下跌约20%。
 
Aave起初声称其"Umbrella"安全储备模块可以覆盖相关损失,但随后将措辞调整为"将探索弥补亏空的路径"——这一表态的变化令市场更加不安。
 

蔓延至整个DeFi生态

 
Crypto Briefing的报道显示,此次事件波及的协议远不止Aave:
 
SparkLend:冻结rsETH市场,自报零直接敞口
 
Fluid:同步冻结rsETH相关市场
 
Lido Finance:暂停旗下earnETH产品的存款(该产品持有rsETH敞口),同时澄清其核心质押协议及stETH完全未受波及
 
Ethena:尽管自身无rsETH敞口且超额抵押率超101%,仍作为预防措施暂时暂停了其LayerZero OFT桥接
 
超过20条链上的rsETH:背书陷入不确定性
 
安全公司Cyvers估计,此次事件直接冲击了至少9个其他平台。其CEO Deddy Lavid评论道:"挑战已不仅仅是防止合约层面的漏洞,而是要理解这些漏洞能以多快的速度在集成协议间扩散。"
 

资金去向与追回前景

 
根据TheStreet的报道,攻击者在事发后迅速开始通过Tornado Cash对资金进行混币处理,大部分被盗资产已被转换为ETH分散存放。目前资产追回的可能性极低。链上侦探ZachXBT在Telegram上发现了6个与攻击者相关的钱包,均在攻击前数小时通过Tornado Cash预先注资。
 
波场创始人孙宇晨公开表示愿意"与攻击者展开对话",但这更像是一种姿态,而非实际的解决方案。LayerZero目前正与安全应急响应组织SEAL Org联合展开调查,并计划在完整信息获取后与Kelp DAO共同发布事后分析报告。
 

2026年DeFi安全危机全景

 
Kelp DAO事件并非孤立。The Defiant的统计显示,2026年DeFi累计损失已在4.5亿至4.82亿美元之间,涉及约45个协议。
 
本年度重大事件时间线:
 
2026年3月:Resolv Labs遭攻击,损失约8,000万美元
 
2026年4月1日:Solana上的永续合约协议Drift遭攻击,损失约2.85亿美元(后被证实与朝鲜关联黑客有关)
 
4月上旬:CoW Swap、Zerion、Rhea Finance、Silo Finance等十余个较小协议相继被攻击
 
2026年4月18日:Kelp DAO事件,2.93亿美元,2026年最大单次DeFi黑客攻击
 
根据egw.news的分析,仅最近三周内,总DeFi被黑损失已超过10亿美元,2026年正在成为DeFi历史上最黑暗的年份之一。
 

行业影响与结构性反思

 

流动性重质押代币的抵押品风险被重新审视

 
本次事件最深刻的教训,在于DeFi协议对"蓝筹抵押品"的假设存在根本性缺陷。rsETH此前被Aave、Compound、Euler等顶级借贷协议接受为抵押品,市场默认其与ETH高度相关且充分背书。然而,跨链桥的安全性与抵押品的实际价值之间的关联,从未被充分定价。
 
CoinDesk的深度分析引用Curve Finance创始人Egorov的观点:"Aave手里的rsETH根本无法被真正出售,而借出去的ETH也没有人能提取。"这正是DeFi可组合性(composability)内嵌风险的最残酷体现:一个协议发行的代币,被另一个协议无条件接受为抵押品;当代币失去真实背书时,蔓延是即时的,没有任何治理投票、委员会审查或等待期能够阻止。
 

跨链桥安全将迎来更严格的审视

 
LayerZero的消息层在本次攻击中被利用的方式并非Kelp DAO独有。正如The Defiant所警示,其他采用类似架构的协议同样面临潜在风险。预计行业将很快迎来对LayerZero集成方式的全面审计,以及对跨链消息桥多验证者要求的强制化。
 
Ledger安全负责人在接受CoinDesk采访时表示:"2026年很可能成为黑客攻击损失最严重的年份,对DeFi的信任正在被蚕食。"
 
想第一时间追踪DeFi安全动态、把握加密市场机会?
 
 

对普通投资者意味着什么?

 
对于持有rsETH或在Aave等DeFi借贷协议中拥有头寸的用户,以下几点值得特别关注:
 

1. 流动性风险是真实存在的

 
当协议TVL骤降、WETH池利用率达到100%时,即便你没有直接参与被攻击的协议,也可能面临资产暂时无法赎回的困境。
 

2. 跨链资产的背书不是永久保证

 
超过20条链上的rsETH目前仍面临背书不确定性。直到Kelp DAO完成储备与流通量的完整核对并公开发布,任何接受wrsETH作为抵押品的协议都仍处于风险敞口中。
 

3. DeFi可组合性是双刃剑

 
DeFi最强大的特性——协议之间的无缝组合与互操作性——同时也是传染风险扩散最快的渠道。
 

4. 中心化交易所的安全保障仍具价值

 
在DeFi风险事件频发的市场环境下,在MEXC等合规且具备安全保障机制的中心化平台上管理核心资产仓位,是降低智能合约风险敞口的有效方式之一。
 

FAQ(常见问题)

 

Q1:Kelp DAO的rsETH跨链桥是如何被黑客攻击的?

 
攻击者利用了LayerZero跨链消息层的"1-of-1 DVN配置"缺陷——即只有单一节点负责验证跨链消息,攻击者成功入侵或欺骗了该节点,伪造了一条合法的跨链指令,诱使桥合约释放了116,500枚rsETH,而源链上并未有任何对应的ETH被锁定。
 

Q2:Aave的坏账究竟有多少?它会影响用户资金吗?

 
据估计,Aave V3和V4面临的坏账约为1.96亿美元。Aave的"Umbrella"安全储备模块有望覆盖其中部分损失,但整体覆盖率不足30%,剩余部分将由aWETH质押者承担。Aave的智能合约本身未遭攻击,但WETH池满载时确实短暂阻止了部分用户赎回资产。
 

Q3:被盗的2.93亿美元有可能追回吗?

 
目前来看,可能性极低。攻击者已通过Tornado Cash对资金进行混币处理,大部分资产已被转换为ETH分散存放。LayerZero与SEAL Org正在进行联合调查,但目前尚无资产追回的具体进展。
 

Q4:持有rsETH的用户现在该怎么办?

 
在Kelp DAO完成储备核对并发布完整的事后分析报告之前,建议密切关注官方公告,避免在信息不完整的情况下进行恐慌性操作。目前rsETH在多条链上的背书状态仍不明朗。
 

Q5:LayerZero本身是否存在系统性漏洞?

 
此次事件的根源不在于LayerZero的核心协议存在代码Bug,而在于Kelp DAO采用了极度集中的"1-of-1 DVN配置",使得单点攻陷成为可能。LayerZero协议并未禁止这种配置,但安全社区已呼吁强制要求多验证者配置。
 

Q6:DeFi行业在2026年还遭受了哪些重大安全事件?

 
2026年已成为DeFi黑客事件的"灾年":3月Resolv Labs损失约8,000万美元;4月1日Drift Protocol损失约2.85亿美元(与朝鲜关联黑客有关);随后CoW Swap、Zerion、Rhea Finance等十余个协议相继被攻击;Kelp DAO事件后,2026年累计DeFi损失已超过4.5亿美元。
 

Q7:这次事件对以太坊重质押(Restaking)赛道有何影响?

 
此次事件将使以太坊重质押赛道面临更严格的审视,EigenLayer生态中的LRT(流动性重质押代币)作为借贷抵押品的可接受性将受到重新评估,各大借贷协议预计将收紧对重质押资产的风险参数。
 

免责声明

 
本文由MEXC Crypto Pulse Team撰写,仅供信息参考之用,不构成任何投资建议或财务意见。加密货币市场波动剧烈,DeFi协议涉及智能合约风险、流动性风险及跨链桥安全风险等多重不确定因素,投资者在参与任何DeFi协议或加密资产投资前,应充分了解相关风险,并在必要时寻求专业财务顾问的意见。本文所引用的事件数据、损失金额等信息截至撰稿时的公开报道,最终损失数额可能随调查进展而有所变动。MEXC对本文内容的准确性不作任何明示或默示担保。
 

关于作者

 
MEXC Crypto Pulse Team 是 MEXC 旗下专注于加密货币市场动态、区块链技术深度报道的内容研究团队。团队成员长期跟踪DeFi、NFT、Layer 2及Web3基础设施领域的前沿发展,致力于为全球加密用户提供及时、准确、深度的市场洞察与安全资讯。MEXC是全球领先的数字资产交易平台之一,为超过1,000万用户提供现货、期货、ETF等多元化交易服务。
 

信息来源

 
Kelp DAO Hack: $292M Drained from rsETH Bridge — SpazioCrypto, April 18, 2026
Kelp DAO Bridge Drained for $292M in rsETH — Bankless, April 19, 2026
 
想最快获取 MEXC 最新资讯?立即加入我们的官方电报群!
加入 MEXC 社群:X (Twitter) | Telegram | Discord
账户验证:了解 KYC | 如何进行 KYC
市场机遇
Quack AI 图标
Quack AI实时价格 (Q)
$0.054669
$0.054669$0.054669
USD

本页面分享的文章均源自公开平台,仅供参考。该内容不代表 MEXC 的立场或观点。所有版权归 MEXC 所有。如果您认为任何内容侵犯了第三方的权益,请联系 [email protected] 以便及时删除。 MEXC 不保证任何内容的准确性、完整性或及时性,且不对基于所提供信息而采取的任何行动负责。本内容不构成财务、法律或其他专业建议,亦不应被解释为 MEXC 的推荐或认可。如需专家见解和深入分析,请造访 MEXC 学院。

Quack AI 最新动态

查看更多
Kalshi CPI Futures: Can It Challenge Wall Street?

Kalshi CPI Futures: Can It Challenge Wall Street?

Kalshi is preparing to enter the institutional inflation derivatives market with proposed exchange-traded futures contracts linked to the U.S. Consumer Price Index (CPI). According to Bloomberg's October 23, 2026 report, the prediction-market operator is targeting a December launch for futures tracking both headline CPI and core CPI, which excludes food and energy. The company has engaged Michael Ashton, a former Barclays inflation trader known as the “Inflation Guy,” to help design the contracts and attract institutional interest from major banks and hedge funds
2026/10/26
DeFi Price Manipulation Attacks Hit 43 in 2026

DeFi Price Manipulation Attacks Hit 43 in 2026

DeFi price manipulation attacks have reached a new reported annual high in 2026, exposing persistent weaknesses in how decentralized financial protocols value assets, manage collateral, and respond to abnormal market conditions. According to DefiLlama data cited by RootData and other industry publications, 43 price manipulation incidents had been recorded by October 21, surpassing the previous full-year high of 27 incidents in 2022. Reported losses associated with the 2026 incidents totaled approximately $199 million, although their distribution reveals a more complex security picture than the headline count suggests
2026/10/26
Hyperliquid HIP-3: Can Payward Bring Perps to the US?

Hyperliquid HIP-3: Can Payward Bring Perps to the US?

Payward, the parent company of Kraken, is pursuing a regulated pathway for bringing onchain perpetual futures to U.S. customers through Hyperliquid's HIP-3* infrastructure. The company announced its plan on September 16, 2026, while Hyperliquid's October 26 update drew renewed attention to the proposed permissioned market architecture. Under the arrangement, Bitnomial would operate the exchange and clearing functions, NinjaTrader Clearing would maintain customer accounts, and Hyperliquid would supply the blockchain-based order book used to execute and record transactions
2026/10/27
查看更多