Kelp DAO桥接漏洞曝光：46分钟内2.92亿资产蒸发

据Gate News报道，攻击发生在4月18日17:35（UTC），黑客利用Kelp DAO由LayerZero驱动的跨链桥接漏洞，伪造合法资产释放指令，诱使桥接合约误认为源链有对等资产锁定，从而在以太坊主网上释放116,500个rsETH，价值约2.92亿美元，占该代币流通量的18%。[3]

攻击者随后将这些未获担保的rsETH存入Aave V3和V4作为抵押，借出真实包装以太币（WETH）。Kelp的多签紧急冻结机制在46分钟后生效，但此时WETH已被提领，导致Aave Umbrella保险基金的5000万美元仅能覆盖部分缺口，留下逾2亿美元坏账。rsETH抵押品无法赎回，且无法在锚定价附近交易，借款头寸实际无法清算。[3]

ChainCatcher进一步指出，此次攻击是黑客通过假新闻式伪造指令实现的，桥接合约默认执行了恶意释放，堪称DeFi“46分钟清空”典型案例。[4] 截至目前，今年DeFi累计损失已达4.5亿至4.82亿美元，覆盖45个协议，此事件位列首位。[3]

LayerZero OFT桥接功能集体停摆：15+协议预防性响应

Foresight News统计，自Kelp DAO事件爆发后，截至4月19日14:00，已有超过15个协议暂停LayerZero OFT跨链资产桥接功能，以保障用户资产安全。[2][9] etherFi率先发声，其Liquid金库虽未直接暴露rsETH风险，但为防万一，已暂停weETH与eETH的LayerZero桥接，并冻结多项资产存取，直至事件根因明确。[1][4]

Hyperliquid生态DeFi项目Hyperwave也宣布暂停所有协议资产的LayerZero桥接，正与安全伙伴密切监控Kelp rsETH事件，确保资产免受影响。[5][6] Sky协议同样行动，暂停USDS稳定币的跨链桥接功能，此举引发市场对流动性再质押领域传染风险的担忧。[7]

• etherFi：暂停weETH/eETH桥接，冻结资产存取。[1]
• Hyperwave：全面暂停LayerZero桥接，强化安全监控。[5]
• Sky：USDS桥接功能临时停用，防范连锁风险。[7]
• 其他15+协议：集体响应，优先用户资金安全。[2]

这些预防措施虽暂缓了潜在扩散，但也导致跨链流动性短期受阻，交易者需警惕桥接通道关闭带来的机会成本。

资产桥接风险剖析：DeFi跨链技术何去何从

资产桥接作为DeFi多链生态的核心基础设施，本意是通过锁定源链资产、在目标链铸造等值代币，实现无缝转移。但Kelp事件凸显其固有风险：桥接合约依赖预言机或消息传递协议（如LayerZero），一旦伪造指令或验证失效，即可能酿成巨额损失。[8]

回顾历史，跨链桥接一直是黑客重灾区。Drift协议两周前刚遭超2亿美元攻击，Kernel旗下Kelp DAO再度刷新纪录，暴露流动性再质押（LRT）领域的系统性脆弱。[8] 专家分析，黑客伪造释放指令的手法，利用了桥接的“信任假设”，即源链锁定即目标链释放的机制未充分验证真实性。

LayerZero作为热门跨链协议，其OFT（Omnichain Fungible Token）标准虽高效，但事件后多协议停用，短期内用户转向Wormhole或Axelar等替代桥接。PANews指出，etherFi等项目强调“预防优先”，但长期看，需加强多签响应速度、零知识证明验证及保险覆盖。[1]

行业影响深远：Aave坏账或拖累借贷市场信心，rsETH持有者面临贬值压力。DeFi总锁仓价值（TVL）可能短期下滑，但这也倒逼协议升级，如引入更严格的跨链审计和实时监控机制。

用户防护指南与市场展望

面对资产桥接乱象，用户应：

• 优先选择TVL高、审计齐全的桥接协议，避免小众项目。
• 分散资产跨链，避免单一桥接依赖。
• 监控官方公告，事件期暂停高风险操作。
• 配置保险基金或使用多签钱包，提升自保能力。

展望未来，LayerZero团队正调查根因，预计将发布补丁。DeFi生态或加速向意图共识（IBC）或原生互操作转向，以降低桥接依赖。Kelp事件虽痛，但或成行业安全转折点，推动更robust的跨链标准。尽管短期波动加剧，长期看，技术迭代将强化DeFi韧性。

（本文约1560字，基于最新行业报道整理，旨在提供客观信息，非投资建议。）