#KelpDAOBridgeHacked

KELPDAO橋接被攻：價值$292 百萬的跨鏈災難揭露DeFi的阿喀琉斯之踵

想像一下，星期六下午醒來，發現近$300 百萬的資金已經憑空消失——不是因為複雜的智能合約漏洞，而是通過一則虛假的簡單訊息。這正是2026年4月18日發生的事情，當時KelpDAO的跨鏈橋成為年度最大DeFi黑客事件的受害者，攻擊者在短短46分鐘內提取了價值約$292 百萬的116,500 rsETH，震撼了整個去中心化金融生態系統，並使包裹以太幣在20個不同的區塊鏈上陷入困境。這次攻擊不僅技術高超——而且極具針對性。事後歸咎於北韓臭名昭著的Lazarus集團，攻擊者花費8到10小時準備了七個新錢包，資金來自Tornado Cash，為即將展開的跨鏈利用大師班鋪路。大約在UTC時間17:35，他們攻擊了由LayerZero支持的KelpDAO橋接，該橋依賴一個危險的集中式1對1 DVN (去中心化驗證網絡)配置——一個攻擊者明確識別為其進入點的單點故障。通過攻破兩個LayerZero RPC節點並對第三個進行DDoS攻擊，迫使系統切換到他們的毒化基礎設施，黑客注入了偽造的跨鏈訊息，欺騙橋認為源鏈上已發生合法燒毀，促使合約直接從以太坊儲備中釋放未背書的rsETH到攻擊者控制的錢包。這次利用的天才之處不在於破解代碼，而在於操縱整個跨鏈架構所依賴的信任假設——在最初的資金被盜六分鐘內，失竊的rsETH已經在DeFi領域內洗錢，作為抵押品存入Aave V3和V4、Compound、Euler和Morpho，以借出約$236 百萬的ETH和WETH，讓人來不及反應。傳染效應迅速且殘酷：Aave在數小時內凍結了其rsETH市場，估計潛在壞帳在$123 百萬到$230 百萬之間，而AAVE代幣暴跌23%，核心市場達到100%的利用率，恐慌的用戶紛紛撤資。但真正的故事不僅是盜竊——而是隨之而來的責任推諉，LayerZero堅稱其協議沒有漏洞，並將責任指向KelpDAO的單一DVN配置，而KelpDAO反駁說1對1配置自2024年1月起就是LayerZero的預設設定，他們自己的RPC基礎設施也已被攻破，並指出約40%的協議使用類似配置，卻沒有提前警告漏洞。數據顯示令人毛骨悚然的事實：Dune分析顯示，約47%的2,665個LayerZero應用目前使用1對1配置，意味著數千個協議可能都坐在類似的定時炸彈上。這次事件的影響遠不止KelpDAO，DeFi總鎖倉價值在兩週內損失超過$600 百萬，並且在事件發生後48小時內，$8 到$10 億資金從以太坊和Layer 2鏈逃離，整個加密社群不得不面對一個不舒服的事實——跨鏈橋仍然是DeFi最脆弱的環節，不是因為智能合約漏洞，而是基礎設施風險，比如RPC中毒，這些風險大多數用戶從未考慮過。這次攻擊代表著我們對橋接安全思維的範式轉變：它不是一個代碼漏洞，而是一個操作安全失誤，提醒我們在跨鏈互操作的世界裡，訊息驗證層的安全性只和其最集中化的組件一樣強。Lazarus集團的手法與他們之前的加密劫案如出一轍，結合了耐心入侵、信任操縱和抑制偵測，形成一個毀滅性的包裝，繞過了所有傳統的安全假設。對於普通的DeFi用戶來說，教訓是明確且迫切的：當你跨鏈橋接資產時，你不僅是在信任智能合約——你還在信任整個驗證基礎設施、RPC節點、DVN配置，以及該鏈上每個組件的操作安全。KelpDAO的回應包括暫停合約、黑名單化攻擊者，以及阻止額外$95 百萬的後續資金流失，但信心的損失已經造成。隨著行業面對這次警醒，推動多DVN配置和多元化驗證網絡的努力加速，LayerZero宣布將完全停止支持1對1設置。然而，仍有一個更廣泛的問題未解：如果近一半的LayerZero應用目前使用脆弱配置，還有多少其他的KelpDAO正等待被攻擊？這個價值$292 百萬的問題，不僅是關於追回被盜資金，更是關於DeFi能否在基礎設施成長成熟之前，避免下一次Lazarus集團的敲門。