2.92亿美元加密货币遭窃，DeFi安全漏洞暴露无遗_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

2.92亿美元加密货币遭窃，DeFi安全漏洞暴露无遗

2026-05-02 22:41:40

一起针对KelpDAO跨链桥的价值2.92亿美元的黑客攻击事件，已成为2026年最大的去中心化金融安全漏洞之一，暴露出链下基础设施的薄弱环节如何能够绕过即使功能正常的智能合约。

关键要点

攻击者于2026年4月18日从KelpDAO基于LayerZero的桥上盗取了大约116,500枚rsETH。

此次漏洞利用并非智能合约错误，而是影响了为单一验证者配置提供数据的RPC基础设施。

Aave在数小时内冻结了rsETH市场，但在此次攻击前，其相关部署的敞口已高达约12亿美元。

此次事件的启示

链上取证公司Chainalysis报告称，攻击者于2026年4月18日从KelpDAO基于LayerZero的桥上盗取了大约116,500枚rsETH。失窃时这些代币价值约2.92亿美元。

LayerZero在其官方事件声明中证实，此次漏洞仅限于KelpDAO的rsETH配置，该配置依赖于1-of-1去中心化验证者网络设置。被破坏的下游RPC基础设施导致该单一验证者确认了实际上并未在链上发生的交易。

相对于KelpDAO的总规模，此次损失是巨大的。就在漏洞发生前两天发布的Kelp 2026年第一季度报告显示，该协议的总锁仓价值已达到13.3亿美元，而在Aave上部署的rsETH供应量约为12亿美元。

协调世界时4月18日18:52，Aave的Guardian模块开始在所有部署中冻结rsETH和wrsETH市场，鉴于协议面临的巨大敞口，这是一个快速的防御响应。更广泛的以太坊去中心化金融生态系统持有超过1050亿美元的锁仓总价值，这意味着此次单一攻击事件抹去的价值相当于该链总锁仓资本的大约0.28%。

攻击暴露的去中心化金融结构性安全弱点

问题在于链下基础设施，而非代码

与大多数引人注目的去中心化金融攻击不同，KelpDAO的漏洞并未涉及智能合约漏洞。Chainalysis解释称，攻击者入侵了内部RPC节点，并同时对外部节点发起分布式拒绝服务攻击，从而向KelpDAO的单一验证者提供了虚假数据。验证者根据其接收到的数据正确运行；问题出在输入信息上。

一位安全研究员在评论中精准地描述了这个攻击向量：“金库完好无损，守卫诚实可靠，门锁机制运行正常。谎言被直接传达给了那个一言即可开门的人。”

单一验证者配置的风险

关键的设计选择在于KelpDAO使用了1-of-1的去中心化验证者网络设置。一位安全研究员指出，这“是一个单点故障，无论营销上如何称呼它”。LayerZero的架构支持多验证者配置，但KelpDAO选择了最低限度的冗余。

这反映了一种读者在追踪类似事件中熟悉的模式，即协议层面的配置决策会带来不成比例的安全影响。教训是一致的：为成本或速度而做出的架构选择往往会成为攻击面。

审计与监控的缺失

传统的智能合约审计无法发现此类漏洞，因为合约是按设计运行的。失败是操作性的，存在于链上验证与链下数据源之间的基础设施层。相关部门的2023年去中心化金融风险评估已经警告，“去中心化金融服务薄弱的网络安全控制助长了盗窃行为”，并且与某国有关联的行为者积极利用去中心化金融服务转移和清洗非法所得。此次攻击恰恰符合这一官方政策框架。

去中心化金融平台与用户后续应关注的方面

协议响应模式

Aave快速冻结市场表明，当监控系统迅速触发时，去中心化金融协议可以控制风险的蔓延。冻结在漏洞发生后数小时内开始，限制了平台上价值12亿美元的rsETH敞口所可能引发的连锁清算。

对于持有跨链资产的协议，此次事件已引发关于强制多验证者要求的讨论。那些需要在去中心化开销与安全性之间权衡取舍的项目，面临着新的压力，需要优先考虑冗余性。

用户风险指标

用户再次使用依赖跨链桥的协议时，应核实桥是否采用多验证者配置、RPC基础设施是否经过了超越代码审查的操作安全审计，以及事件响应预案是自动触发还是需要人工干预。

当前市场情绪指数显示市场存在普遍的焦虑情绪。以太坊价格小幅波动，表明此次攻击对价格的影响主要局限于相关代币，并未引发系统性抛售。

监管与信任影响

如果初步归因于某黑客组织得到证实，那么此次攻击将成为另一个数据点，支持对去中心化金融基础设施实施更强网络安全要求的监管论点，这也是主要加密平台在应对合规压力时相关的话题。

可见的安全改进，包括多验证者要求、实时异常检测和更快的事件遏制，将很可能决定机构资金是否会继续流入依赖跨链桥的去中心化金融协议。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文