Kelp DAO rsETH 跨鏈橋疑遭入侵失竊約2.92億美元，Aave 受波及急凍市場

4月19日（北京時間），DeFi 再爆重大安全事故。鏈上資料顯示，今日凌晨約1時35分，基於 LayerZero 搭建的 Kelp DAO rsETH 跨鏈橋合約疑被黑客利用，導致約116,500枚 rsETH 被轉走，按市值折算約2.92億美元。Kelp DAO 為市面上第二大流動質押協議。 追蹤鏈上記錄可見，攻擊者地址在事發前約10小時曾從混幣協議 Tornado Cash 收到1枚 ETH 作為啟動資金。其後該地址呼叫 LayerZero EndpointV2 合約的 lzReceive 函數，觸發 Kelp 跨鏈橋合約向另一個攻擊者地址轉出116,500枚 rsETH。 事發約兩個半小時後，Kelp DAO 在 X 確認遭攻擊並表示，早前偵測到涉及 rsETH 的可疑跨鏈活動，調查期間已暫停主網及多條 Layer2 上的 rsETH 合約；審計團隊正與 LayerZero 及 Unichain 的安全專家緊密合作監測，後續將透過官方渠道更新。 事故原因方面，多個 DeFi 團隊及安全機構加入分析。社群廣泛引用 D2 Finance 的判斷：LayerZero Scan 將遠端端點標示為 Kelp DAO，顯示訊息源自 Kelp 自身已合法部署的遠端合約，且該路徑過往已累積308個 message nonce 記錄，因此更可能的根因是來源鏈私鑰遭竊。TinyHumans AI 開發者 Steven Enamakel 亦補充，相關合約僅由 1/1 驗證者集合（DVN）保護，單一驗證者出錯交易已足以造成風險。 黑客亦被指透過 Aave 等借貸協議「出貨」，或令協議出現壞賬。由於 rsETH 交易流動性有限，攻擊者選擇把 rsETH 抵押到 Aave 等借貸平台，借出流動性更佳的 wETH。PeckShield Alert 監測顯示，截至今日凌晨4時30分，攻擊者已把失竊 rsETH 存入 Aave V3、Compound V3、Euler 等借貸協議並大量借出 WETH，總負債超過2.36億美元；當中 Aave 約1.96億美元、Compound 約3,940萬美元、Euler 約84萬美元。 事件發生後，Aave 迅速在 Aave V3 及 V4 凍結 rsETH 市場。Aave 團隊其後在 X 表示，Aave 合約本身未被攻破，事件與 rsETH 相關；凍結 rsETH 是為防止新增 rsETH 存入及以其作抵押借款，團隊正審視攻擊後在 Aave 發生的 rsETH 借款，會盡快公布更多細節。其後 Aave 更新帖文補充，若事件最終令協議產生壞賬，將研究填補缺口的方案。 截至發稿，壞賬實際規模仍未明朗。Spark（Aave 直接競爭對手）策略負責人 monetsupply.eth 指出，若 rsETH 出現19%折讓（約等於被盜數量佔總供應比例），在高槓桿循環借貸下，Aave 壞賬或可超過1億美元。Aave Chan Initiative（ACI）創辦人 Marc Zeller（曾宣布因治理分歧將於7月離開 Aave）則持不同看法。他在事發後建議用戶盡快從 Aave V3 提取 WETH 以降低風險，並確認 Aave 上 USDC、USDT 市場未受影響；對於壞賬或達數億美元的猜測，他回應稱：「遠低於那個數字。」 Zeller 亦提到，事件或成為 Umbrella 在真實生產環境的壓力測試。Umbrella 為 Aave 的自動化安全模組，本質上是用於覆蓋壞賬的儲備池：用戶可存入資產以獲更高激勵，但協議一旦出現壞賬，該池亦需承擔損失。Aave 數據顯示，Umbrella 目前約有5,000萬美元等值 WETH 可用於應對本次潛在壞賬，但是否足夠仍有待觀察。 受消息影響，AAVE 短線下跌近10%，截稿報104.6 USDT。 4月再現「十億級」安全事故 本月並非首次出現重大安全事件。4月1日，Solana 生態衍生品交易協議 Drift Protocol 曾遇襲，損失最高達2.8億美元。Drift Protocol 事後把盜竊指向「北韓黑客」，並稱包括 Tether 在內的機構承諾提供1.475億美元補償用戶。相隔十餘日，更大規模的攻擊再度發生，市場關注事件最終如何收場。 DeFi 還有安全的地方嗎？ DeFi 安全風險正在升溫：一邊是黑客事件頻仍，另一邊亦有 Mythos 等 AI 系統帶來的持續威脅。過往用戶常見做法是把資金集中在經充分審計、口碑良好的頭部協議，但今次連 Aave 這類零售用戶普遍信任的頂級協議亦遭間接波及。 在目前不確定性下，不建議用戶把大量資金長期留在鏈上；如有實際需要，宜做好分散配置並確保倉位隔離。事件仍有多個關鍵細節未明，Odaily 將持續跟進。