一個來自北韓 Lazarus 駭客組織的攻擊者，在沒有破解任何智能合約代碼的情況下，從 Kelp DAO 的跨鏈橋中提取了 116,500 枚 rsETH——按當時市值計算約 2.92 億美元，相當於 rsETH 全部流通供應量的 18%。從攻擊成功到 Kelp DAO 緊急暫停合約，前後只有 46 分鐘。這 46 分鐘，成為 2026 年 DeFi 最昂貴的 46 分鐘。
更令人震驚的是：這個漏洞，早在 15 個月前就已被公開記錄在 Aave 的治理論壇上，而沒有人修復它。
一、事件完整時間線：46 分鐘應對過程
攻擊發生前的準備階段
Kelp DAO 是一個液態再質押協議，讓用戶將 ETH 存入後，透過 EigenLayer 獲得額外的質押收益，並取得 rsETH 作為可交易的憑證。rsETH 被部署在超過 20 條區塊鏈上，跨鏈移動依賴 LayerZero 的橋接基礎設施。
攻擊者在事前完成了複雜的準備工作：成功入侵 LayerZero Labs DVN（去中心化驗證網絡）所使用的兩個 RPC 節點，並在這些節點上植入惡意軟件，使它們能夠向 DVN 報告虛假的鏈上狀態，同時對其他 IP 地址的請求仍然回報真實數據，以規避安全監控系統的發現。
攻擊當日：精確的三步打擊
17:35 UTC：攻擊正式啟動。攻擊者對 LayerZero Labs DVN 使用的外部 RPC 節點發動 DDoS 攻擊，強制系統切換至已被污染的備用節點。被污染的節點隨即向 DVN 報告：在源鏈（Unichain）上，有大量 rsETH 已被銷毀——但實際上根本沒有發生任何銷毀行為。LayerZero Labs DVN 根據這份虛假報告，確認了跨鏈消息的合法性。以太坊主鏈上的合約收到確認後，從托管地址釋放了 116,500 枚 rsETH 至攻擊者控制的地址。
整個過程——一份合法的鏈上交易，建立在完全虛假的現實認知之上。
17:35 至 18:00 UTC（事件後最初 25 分鐘）：攻擊者迅速行動，將 116,500 枚 rsETH 分配至 Aave V3（以太坊和 Arbitrum）、Compound V3 和 Euler，以 rsETH 作為抵押品，借出超過 2.36 億美元的真實 WETH。Aave V3 單獨面臨的壞帳估計約達 1.77 億美元。
18:21 UTC（攻擊後 46 分鐘）：Kelp DAO 的緊急暫停多重簽名凍結了核心合約。此後在 18:26 UTC 和 18:28 UTC，攻擊者嘗試的兩次後續攻擊——每次試圖再次提取約 40,000 枚 rsETH（價值約 1 億美元）——均因合約暫停而失敗。
如果沒有這 46 分鐘的緊急回應，總損失可能接近 4.9 億美元。
Aave、SparkLend 和 Fluid 在數小時內凍結了所有 rsETH 市場。Aave 的 TVL 在事件後下跌約 60 億美元，整個 DeFi 的鎖倉總值下跌約 140 億美元。2026 年 4 月 21 日，Arbitrum 網絡安全委員會凍結了攻擊者的 30,766 ETH（約 7,100 萬美元），約相當於被盜資金的 25%。
二、DVN 1-of-1 漏洞是什麼？用最簡單的比喻解釋
跨鏈橋的信任機制
要理解這次攻擊的本質，先要理解跨鏈橋的信任機制。
當你把一個 token 從 A 鏈橋接到 B 鏈，系統需要一個「裁判」來確認：A 鏈上確實發生了相應的資產鎖定或銷毀。這個裁判，在 LayerZero 的架構中叫做 DVN（去中心化驗證網絡）。
問題在於：誰來確保這個裁判說的是真話？
LayerZero 的設計允許協議配置多個獨立的 DVN，只有當所有（或指定數量的）DVN 都確認消息有效，跨鏈動作才會執行。這就好像一個公寓大樓需要多把鑰匙才能開啟保險箱，缺少任何一把都無法完成操作。
Kelp DAO 的致命選擇
然而，rsETH 的配置方式是：只有 LayerZero Labs 自己的 DVN 需要確認消息——也就是所謂的「1-of-1」設置。
用最簡單的比喻說：這就像一棟大樓的保險箱，設計成只需要一把鑰匙就能開啟，而這把鑰匙由保安公司的一個工作人員保管。一旦那個工作人員被騙或被脅迫，保險箱就完全沒有保護。
如果 Kelp DAO 使用了「2-of-3」或「3-of-5」的多 DVN 設置，攻擊者即使成功污染了 LayerZero Labs 的節點，其他獨立驗證者也會發現消息與鏈上實際狀態不符，並拒絕確認。這次攻擊在技術上將完全失效。
Recent Recent Posts:
2026 Latest 6 Free Coin Ring Tools Inventory｜Where to find the data on the chain?
2025 Latest OKX Web3 Wallet Tutorial: Does it work? How to create it? A Guide to Safe Operation, Multi-Link Support, and Time-Limited Airdrops
2026 Latest Polymarket Tutorial｜How to find out the insiders and realize the high win rate!
2025 New DeFi Beginner's Guide｜Teaching you to earn stable money passive income! Introducing 3 popular programs, DeFiLlama tool tutorial!
責任歸屬的爭議
事件發生後，LayerZero 和 Kelp DAO 之間爆發了公開的責任爭議。
LayerZero 的聲明強調：Kelp DAO 在知悉多 DVN 最佳實踐的情況下，仍選擇使用 1-of-1 配置，因此責任在於應用層，而非協議層。
Kelp DAO 則反駁指出：LayerZero 自己的 V2 OApp 快速入門指南和預設 GitHub 配置，本身就是 1-of-1 的設置；LayerZero 從未向 Kelp 發出具體的配置更改建議；而且根據統計，LayerZero 上大約 40% 的協議目前仍在使用相同的 1-of-1 配置。
這場責任爭議，折射出整個跨鏈橋生態系統在安全文化上的系統性問題：當漏洞是「合規的錯誤選擇」而非「違規的代碼錯誤」時，責任應該由誰承擔？
三、Arbitrum 凍結機制如何運作？
為什麼一條「去中心化」的鏈能凍結資金？
事件中最令外界驚訝的，或許是 Arbitrum 網絡安全委員會在 4 月 21 日成功凍結了攻擊者的 30,766 ETH。這引發了一個合理的疑問：去中心化的區塊鏈，怎麼能夠凍結用戶的資金？
答案在於 Arbitrum 目前仍處於其去中心化路線圖的早期階段，保留了一個多重簽名的「安全理事會」機制。這個理事會由 12 位理事組成，在緊急情況下可以採取保護性行動，包括升級合約和，在技術層面，影響特定狀態的確認。
這並不代表 Arbitrum 是中心化的，而是代表在去中心化治理完全成熟之前，現實中存在一個緊急干預機制。這個機制的存在，是 DeFi 協議在安全設計與去中心化理想之間的妥協。
25% 的資金被凍結：夠了嗎？
目前，Arbitrum 安全理事會凍結的資金約相當於被盜總量的 25%。剩餘的 75% 去向何方，仍在調查中。根據 Chainalysis 的鏈上分析，被盜資金的部分已透過混幣器轉移，這是 Lazarus 駭客組織的慣常手法。
Kelp DAO 表示正在進行「主動補救」，但具體的賠償方案和時間表尚未公佈。對 rsETH 持有者而言，目前最重要的是等待官方公告，而不是自行採取任何可能加劇損失的操作。
四、rsETH 現狀與官方救援進展
事件發生後，rsETH 在多條鏈上的持有者面臨一個嚴峻問題：如果橋接儲備已被提空，這些鏈上的 rsETH 是否還有真實的 ETH 作為背書？
關鍵區別在於：Kelp DAO 的核心再質押合約並未受到攻擊。以太坊主鏈上由真實用戶存款支撐的 rsETH，仍然是有效的。EigenLayer 的委托關係也完整保留。被破壞的，是在非以太坊鏈上流通的跨鏈版本的備用儲備。
這意味著在以太坊主鏈上持有 rsETH 的用戶，理論上仍然持有有效的質押憑證。但在 L2 和其他鏈上持有 rsETH 的用戶，面臨的不確定性更高，因為其背後的跨鏈儲備已部分缺失。
目前，Kelp DAO 和 LayerZero 正與安全事件響應組織 SEAL Org 聯合調查，並承諾在信息完整後發布聯合事後報告。LayerZero 已宣布，將停止為任何仍使用 1-of-1 DVN 配置的應用程序簽署消息，強制推動行業範圍內的多 DVN 遷移。
五、rsETH 持有者現在應該做什麼？
如果你目前持有 rsETH，以下是基於現有信息的建議框架，但強調這不是投資建議，最終決定應基於你的個人情況和對官方公告的跟進。
首先，查清你持有的是哪條鏈上的 rsETH。 在以太坊主鏈上持有的 rsETH，與在 Arbitrum、Base、Linea 等 L2 上持有的跨鏈版本，面臨的風險程度不同。確認你的持倉在哪條鏈上，是判斷下一步的基礎。
其次，暫時不要採取倉促的操作。 在 Kelp DAO 公佈正式賠償方案之前，試圖在二級市場拋售可能帶鏈折價的跨鏈 rsETH，未必是最優選擇。事件發生後，DeFi 協議的救援通常涉及快照補償機制，在快照時間點前的持倉狀態往往比出售後的狀態更有利。
第三，持續關注 Kelp DAO 和 LayerZero 的官方公告渠道。 所有官方更新均會透過 Kelp DAO 官方 Twitter（@KelpDAO）和 LayerZero 官方博客發布，任何聲稱代表官方的第三方補償通知，都應視為潛在詐騙。
六、教訓：DeFi 橋接安全性如何選擇？
Kelp DAO 的攻擊，在 DeFi 安全史上具有特殊意義。以往大多數橋接攻擊，都涉及智能合約代碼層面的漏洞——攻擊者找到代碼邏輯的缺陷，利用它提取資金。這次攻擊卻完全不同：所有智能合約代碼運行正確，所有鏈上交易完全合規——問題出在鏈下基礎設施（Off-chain infrastructure）被污染後提供了虛假的輸入數據。
根據 KuCoin 的分析，攻擊邏輯是：偽造的跨鏈消息告訴以太坊主鏈「另一條鏈上已經鎖定了等值資產」，觸發主鏈鑄造 rsETH。鑄造的 rsETH 本身沒有真實的支撐，但其鏈上記錄完全「合法」，並因此被借貸協議接受為抵押品。
這種攻擊模式提示了一個行業的盲區：傳統安全審計的範疇是「找合約的代碼漏洞」，但這次漏洞根本不在代碼裡——它在部署配置中，而配置審計在行業內仍是一個新興的、不成熟的實踐。
對普通 DeFi 用戶和開發者來說，這次事件提供了一個具體的安全評估框架。
第一，這個橋使用了多少個獨立 DVN？1-of-1 設置已被這次事件証明存在單點故障風險。任何理性的橋接設計，應至少使用 2-of-3 或更高的多驗證門檻。
第二，DVN 之間是否真正獨立？多個 DVN 如果依賴相同的 RPC 基礎設施或同一個實體運營，其獨立性只是表面的，無法提供真正的多點驗證保護。
第三，這個協議是否有過鏈上狀態的交叉驗證機制？Chainalysis 指出，針對這次攻擊最有效的防禦，是跨鏈不變量監控（cross-chain invariant monitoring）——持續驗證目的鏈釋放的 token 數量，是否與源鏈銷毀的數量在數學上相符。
第四，這個協議是否有緊急暫停機制？Kelp DAO 在 46 分鐘內的緊急暫停，阻止了額外 2 億美元的損失。一個沒有緊急暫停能力的協議，在攻擊發生時幾乎沒有任何保護空間。
DeFi 的安全邊界，不再只是代碼——它延伸到了你無法直接看見的鏈下基礎設施。在你選擇把資產存入任何橋接協議之前，這四個問題值得認真詢問。
Disclaimer
The content of this article is for reference only, investors should exercise independent judgment, invest with caution and at their own risk, this article does not provide or attempt to persuade viewers to trade or invest on the basis of the content of this article is for sharing purposes only, and should not be regarded as investment advice, and does not represent the Monsterblockhk viewpoints and positions, all information and views of the specific date of the judgment of the time-limited nature. In addition, if any content in this website involves virtual asset trading platforms that have not yet obtained a license to operate virtual asset trading platforms in Hong Kong, including but not limited to text introductions, pictures, promotions, events, etc., they are only available to users outside of the Hong Kong Special Administrative Region.
According to the Hong Kong Anti-Money Laundering and Counter-Terrorist Financing (Amendment) Ordinance 2022, after June 1, 2023, all centralized virtual asset trading platforms operating in Hong Kong or actively promoting their services to Hong Kong investors will be licensed and regulated by the SFC, and any related unlicensed activities will be a criminal offence. For more information and details of the legislation, users may refer to the SFC website.