KelpDAO 被盗事件揭示：代币化 DeFi 的风险——2990万美元级桥接攻击并通过抵押品外溢

KelpDAO 的一次跨链桥接攻击导致约 2.92 亿美元 rsETH 被盗，被媒体描述为 2026 年迄今最大的 DeFi 事件之一。4 月 18 日，攻击者利用 KelpDAO 相关桥接漏洞，在没有相应资金背书的情况下释放了 116,500 枚 rsETH（约占流通量的 18%）。 更关键的是后续外溢：在数小时内，遭窃的（未被背书支持的）rsETH 被用作抵押品进入多家主流借贷协议。Aave 似乎承受了最大敞口，攻击者用该抵押借走约 1.9 亿美元的 WETH。Aave 并未被直接黑客入侵，但其合约接受了与市场对 rsETH 所代表资产不一致的抵押，从而引发坏账预估约 1.237 亿至 2.301 亿美元（取决于最终损失分摊方式）。 从技术面看，这次 KelpDAO exploit 攻击的是跨链基础设施本身。rsETH 来自 EigenLayer 的 restaking，并通过 LayerZero 消息传递在链间流转。桥接依赖 1-of-1 的去中心化验证者网络（DVN）配置；攻击者篡改两个 RPC 节点以注入伪造交易数据，并对其他节点发动 DDoS 逼迫验证者故障切换到被污染的数据源。Kelp 与 LayerZero 对责任归属存在公开争议，且 LayerZero 之后表示将不再为单验证者配置的应用签名消息。 对交易者的核心启示是：代币化资产的“可组合性传染”。当代币在链上仍看起来合法，集成方、预言机与风险框架可能把损失扩散到未被直接攻击的平台。短期内这通常会抬升风险溢价并压缩杠杆意愿；长期来看，可能推动 DeFi 及机构代币化更严格的抵押审查与基础设施冗余要求。