#rsETH攻击事件后续进展 Kelp DAO的rsETH跨链桥被盗事件是2026年迄今为止规模最大的DeFi安全事件,造成约2.92亿美元资产损失。
攻击发生在2026年4月18日UTC 17:35左右,黑客利用Kelp DAO基于LayerZero的跨链桥配置漏洞(采用1/1的去中心化验证节点DVN设置),通过伪造跨链消息,在以太坊主网凭空铸造了约11.65万枚无真实资产背书的rsETH代币。
这些“空气资产”被迅速存入Aave、Compound、Euler等主流借贷协议作为抵押品,借出约2.36亿美元的真实WETH/ETH,其中Aave面临高达1.77亿至1.96亿美元的潜在坏账风险。
Kelp DAO在事发约46分钟后紧急暂停了主网及多个Layer2网络上的rsETH合约,阻止了后续攻击尝试。但市场恐慌已迅速蔓延,Aave的TVL在24小时内从264亿美元暴跌至180亿美元,降幅达32%,AAVE代币价格也下跌约18%。
此次事件暴露出DeFi生态中“跨链桥+再质押衍生品”的系统性风险:一个环节的安全缺口可能通过可组合性传导至多个协议,形成连锁冲击。尽管LayerZero建议使用至少2-of-3的DVN配置,Kelp DAO仍选择了风险极高的1-of-1单点验证模式,被批评为“用一把挂锁保护银行金库”。
目前,Kelp DAO与LayerZero正就责