#KelpDAOBridgeHacked

2026年最大DeFi漏洞——Kelp DAO的rsETH桥被盗走$292 Million
2026年4月18日，约17:35 UTC，流动性再质押协议Kelp DAO在其由LayerZero支持的跨链桥中遭遇重大安全漏洞。攻击者成功窃取了116,500个rsETH (再质押以太坊)，价值约292–293百万美元。这一数额约占rsETH总流通量的18%，截至目前也是2026年记录中最大的DeFi黑客事件。
攻击如何展开
Kelp DAO的rsETH桥依赖LayerZero的跨链消息传递基础设施，具体是EndpointV2合约，用于实现不同区块链之间的无缝资产转移。攻击者通过调用lzReceive函数并注入伪造的跨链消息来实施攻击。该被操纵的消息骗过了桥的验证逻辑，使其误以为合法资金已从另一网络到账，从而导致116,500个rsETH直接被释放到攻击者控制的地址。
用于此次攻击的“钱包”在大约10小时前通过Tornado Cash获得资金——这是一种常用的手法，用于掩盖交易来源。该桥在以太坊主网以及多个Layer-2网络上处于运行状态，包括Arbitrum，从而推动跨链影响迅速扩散。分析人士指出，过度依赖LayerZero的默认配置和文档，是促成因素之一。
Kelp DAO的迅速应对
Kelp DAO团队很快发现了可疑活动，并发布声明：
“我们发现了涉及rsETH的可疑跨链活动。虽然调查仍在继续，但我们已暂停主网以及若干L2网络上的rsETH合约。我们正与LayerZero、Unichain、我们的审计方以及顶尖安全专家密切合作，开展根本原因分析。”
通过立即暂停rsETH合约，该协议阻止了可能发生的后续资金外流，预计额外损失达到$100 Million或更多。然而，流动性损失对rsETH的价值造成了严重冲击，并使超过20条不同链上的Wrapped ETH资产被“困住”。
波及DeFi并引发流动性危机的多米诺效应
此次黑客事件在DeFi生态系统中触发了大范围的“挤兑”。例如Aave等主要借贷平台启动了紧急市场冻结，约有$9 billion (（约占其TVL)的33%）被撤出，并形成了约196–236百万美元的不良债务。类似的流动性压力也冲击了SparkLend、Fluid、Upshift、Morpho等协议，以及其他一些项目。
总体而言，DeFi总锁仓价值TVL(在48小时内下跌了$8–13 billion（80亿到130亿美元）。在部分Solana资金池中也观察到了压力。此次事件再次凸显：跨链桥是DeFi基础设施中最脆弱的组成部分之一。仅在2026年4月，黑客造成的总损失已超过)Million；而Kelp DAO事件的损失超过了三周前由Drift Protocol事件创下的此前纪录，约为280–286百万美元$600 。
Lazarus集团的推测与持续调查
多家安全公司和链上分析师提出可能与朝鲜相关的Lazarus集团存在关联，LayerZero也表示检测到相关信号。目前尚未发布任何官方确认。部分被盗资金已在以太坊和Arbitrum上换成ETH，因为攻击者试图掩盖资金踪迹；追踪工作仍在继续。
给行业的教训
Kelp DAO的桥梁黑客事件凸显了流动性再质押以及全链（omnichain）桥架构所固有的重大风险。尽管LayerZero及类似方案提供强大的互操作性，但它们仍然容易遭受单点故障和消息伪造攻击。
Kelp DAO承诺在完整调查结束后发布一份详细的事后复盘报告。对DeFi用户和开发者而言，此次事件都发出了严峻警示：必须加强桥梁安全，实施健壮的多验证器系统，并提升应急响应协议。