#Gate13周年现场直击

2026年最大DeFi漏洞发生，后续影响仍在扩散。

2026年4月18日，协调世界时17:35，一名攻击者从Kelp DAO的LayerZero支持的跨链桥中盗取了116,500个rsETH代币，价值约$292 百万。被盗金额大约占rsETH总流通量的18%，为630,000个代币，此次漏洞已被官方确认为2026年最大DeFi黑客事件。这不是一次随机的破坏和抢夺，而是一场经过数月策划的精准基础设施攻击，在46分钟内完成。

攻击的工作原理：
攻击者在资金被盗前大约10小时，通过Tornado Cash预先为六个钱包充值。随后，他们攻破了LayerZero验证者依赖的两个RPC节点，用恶意版本的节点软件替换，向验证者报告虚假交易数据。与此同时，一次分布式拒绝服务（DDoS）攻击导致节点切换，受控节点进入验证路径。在验证者被欺骗后，Kelp的桥将116,500个rsETH转移到攻击者控制的地址。
Kelp的应急多签在资金被盗后46分钟暂停了核心合约。随后在18:26和18:28 UTC，分别尝试转移大约40,000个rsETH（价值$100 百万），但都被阻止。核心的重质押合约未受影响。此次漏洞完全局限于桥层。

根本原因：单点故障
此次攻击成功的原因在于Kelp采用了1对1验证器配置，即LayerZero Labs是唯一验证rsETH桥消息的实体。在一个经过充分加固的多验证器（multi-DVN）架构中，多个独立验证器必须达成共识才能批准任何跨链消息。攻破一个节点不足以伪造有效指令。LayerZero表示其公开集成清单和与Kelp的直接沟通建议采用冗余的多验证器设置，但Kelp选择了保持1对1配置。

Kelp对此说法提出异议。一位熟悉Kelp立场的消息人士告诉CoinDesk，自2024年7月以来，Kelp与LayerZero的直接沟通渠道未曾提出具体建议更改rsETH的DVN配置。LayerZero的快速入门指南和默认GitHub配置都指向1对1的DVN设置，目前约40%的LayerZero协议也在使用相同配置。两大DeFi基础设施提供商之间的公开指责已成为另一段故事。

国家支持的攻击团体：拉撒路集团
LayerZero的声明称：“初步迹象显示此事件归因于高度复杂的国家行为体，可能是朝鲜的拉撒路集团，具体为TraderTraitor。”拉撒路集团已被关联到4月1日的Drift Protocol漏洞和4月18日的Kelp攻击，意味着同一北韩单位在18天内通过两种不同的攻击手段，从DeFi中盗取超过$575 百万资金，手段包括社会工程操控Drift的治理签名者，以及毒化Kelp的基础设施RPC。LayerZero已联系多国执法机构，并与Seal911合作追踪被盗资金。

传染效应：aave、TVL和坏账
攻击者将盗取的rsETH存入Aave V3作为抵押品，并借出包裹以太币（WETH），导致在以太坊上的rsETH-WETH交易对中积累了大约$196 百万的坏账。Aave的事件报告指出，若损失在所有rsETH中平均分担，可能损失约$123 百万；若限制在Layer 2网络，损失最高可达$230 百万，最终影响取决于Kelp DAO如何分配亏损。

Aave的总锁仓价值下降至175亿美元，两天内减少了88亿美元。整个DeFi行业也出现大量资金外流，所有链上的总锁仓价值从超过$99 十亿下降到大约$86 十亿。SparkLend、Fluid和Lido Finance暂停了与rsETH相关的市场。Ethena也关闭了其基于LayerZero的OFT桥，尽管没有直接持有rsETH暴露，但出于安全考虑。

rsETH已部署在包括Arbitrum、Base、Linea、Blast、Mantle和Scroll在内的20多个网络中。随着桥的储备被耗尽，各链上的持有者现在面临其包裹rsETH是否得到充分支持的不确定性，形成了赎回压力循环，可能迫使Kelp解除EigenLayer的重质押仓位以满足提款。

这对DeFi意味着什么：
此次漏洞不仅仅是Kelp DAO的故事，更是一个结构性警示。跨链桥仍然是DeFi中最易被攻击的表面之一，此次攻击证明，即使是经过实战检验的消息基础设施如LayerZero，也可能因集成层的配置失误而被利用。Kelp的漏洞显示，朝鲜的拉撒路集团正不断演变，从孤立的黑客行动迅速转向利用基础设施的结构性弱点，表明这是一个持续的、由国家驱动的行动，而非一次性事件。多验证器架构、冗余RPC设置和独立的桥配置安全审计已不再是最佳实践，而是生存所需。

#Gate13周年
#CreatorCarvinal
#KelpDAOBridgeHacked