Kelp DAO 遭攻擊後 48 小時內 DeFi 市場重新為信貸風險定價

截至上周五（4 月 17 日）為止，把穩定幣借出到 Aave——一向被視為 DeFi 的「金標準」——年化回報（APY）只有 2.32%。同一時間，美聯儲隔夜利率為 3.64%。表面上看，市場竟把一套無監管、開源的智能合約，定價成比美國國債更低的信貸風險。這種錯配在 48 小時內被打破，市場以實時方式完成了監管機構、審計師與評論者一直未能做到的事：重新定價 DeFi 的信貸風險。 若按上周末之前的美元信貸選項以收益率排隊，次序本來就難以自圓其說：美國隔夜國債 3.64%；Ledn 以比特幣抵押的投資級 ABS 優先級（2 月定價、BBB）6.84%；Strategy 的 STRC 永續優先股 11.50%；美國信用卡利率約 21%，對應約 4% 違約率；而 Aave 卻低於所有選項，只得 2.32%。市場遲早要「讓位」。 今年稍早，Luca Prosperi 曾提出 DeFi 穩定幣利率理應較無風險利率高出 250–400 個基點，意味 6.15–7.76%。加拿大央行 4 月 2 日報告則持相反觀點，引用 Aave 0.00% 不良貸款率，認為 DeFi 透過嚴格抵押要求及基於價格的強制執行，能夠實現「無違約」借貸。問題只有一個：要麼 DeFi 已解決信貸風險，要麼市場已不再為信貸風險定價；兩者不可能同時成立。上周末答案揭曉。 4 月 18 日，攻擊者利用 Kelp DAO 由 LayerZero 驅動的跨鏈橋漏洞，鑄造約 116,500 枚無資產支撐的 rsETH，約佔流通量 18%，市值約 2.92 億美元。其後，攻擊者把這批合成代幣存入 Aave 作抵押，借出估算 1.90–2.30 億美元的真實資產；關鍵時刻，抵押品實際上並不存在。Aave 的事故報告承認協議「按設計運作」，缺口屬結構性問題而非技術故障。Kelp 與 LayerZero 其後公開互相指責「1/1 驗證者」配置，令攻擊變得輕而易舉。 傳染效應幾乎即時擴散。DeFi 協議天生可互操作，加上「looping」（在一個平台借出，再把借得資產存到另一平台作抵押）盛行，使得 Aave 的受創等同打擊建立在 Aave 之上的一切。Aave 歷史借款量中約 20% 來自遞歸槓桿。48 小時內，Aave 出現約 60–100 億美元淨流出；WETH、USDT、USDC 資金池利用率衝上 100%。存款人無法提取，借款人亦難以獲得穩定幣流動性。 被困用戶為了取現，只能以自身被鎖定的穩定幣存款作抵押，以 75% LTV 再借出，規模約 3 億美元，且不少情況需要承受虧損。利率隨之急速上調：Aave 穩定幣存款 APY 由事發前 3–6% 兩天內升至 13.4%。Morpho 的 USDC 金庫（為 Coinbase 的消費者貸款產品提供基礎）亦由 4 月 18 日的 4.4% APR，翌日跳升至 10.81%，反映流動性搶奪向外擴散。20 條主要鏈的 DeFi TVL 合計下跌逾 130 億美元。 值得配置者留意的是：DeFi 協議內不存在破產法。先提款者可全身而退；最後一批人可能拿不到，甚至承擔不成比例的損失。受監管放貸機構一旦發現無法覆蓋負債，法律上必須即時停止運作；破產法院亦可向不當受益方追討。Celsius、BlockFi 及 FTX 的清盤雖艱難，債權人最終仍能追回部分資產，責任人亦需面對司法程序。DeFi 沒有流程，沒有法院，談不上追討，也缺乏可問責對象。 這直接改變風險寸度：即使能估算總損失，若無法預測損失如何分配，便無法估算自身曝險。你可能是零損失，也可能是全損——取決於你行動有多快，以及你身邊的人有多快。 DeFi 不會消失。其架構具備實用價值，無許可市場亦一直存在於各資產類別與各時代。不過，它從來不是無風險，也一直應較受監管的同類產品提供風險溢價。4 月 17 日事件後的 48 小時，市場被迫重新記起這條規則在鏈上同樣成立。計劃在來年配置 DeFi 的機構投資者應正視這個信號：上周末前 Aave 的 2.32% APR 並未反映底層風險，而市場已完成調整。DeFi 利率最終會在何處企穩，仍由市場決定；但錯價已經結束，上周末已作證。