KelpDAO跨链桥遭2.9亿美元攻击，DeFi锁仓值48小时蒸发超130亿

核心提要：KelpDAO基于LayerZero的跨链桥遭遇重大攻击，损失约2.9亿美元。攻击者利用单验证器漏洞完成资金窃取，导致DeFi领域48小时内锁仓总值缩水逾130亿美元，引发行业对基础设施安全的深度反思。

KelpDAO跨链桥遭大规模攻击，2.9亿美元资产被定向转移

4月18日，依托LayerZero协议构建的KelpDAO跨链桥遭受严重安全入侵，造成价值约2.9亿美元的116,500枚rsETH被非法提取。该事件被初步认定为2026年以来最严重的去中心化金融攻击案例。据基础设施服务商LayerZero披露，现有线索指向朝鲜支持的拉撒路黑客组织。

攻击路径与技术特征分析

攻击者首先渗透了负责远程调用的两个核心节点，随后向备用系统注入海量异常请求，诱导系统切换至已被操控的故障节点。一旦恶意验证器完成伪造交易签名，跨链桥即自动释放资金至攻击者控制地址。攻击完成后，恶意程序迅速自我销毁，清除所有执行痕迹与日志记录，显著提升溯源难度。

连锁反应与市场震荡

此次事件触发剧烈资金外逃潮。借贷平台Aave在短时间内流失超过100亿美元，其锁仓规模由458亿美元锐减至357亿美元。综合统计显示，攻击发生后48小时内，整个去中心化金融生态的总锁仓价值下降幅度突破130亿美元，暴露跨链系统脆弱性。

责任划分争议升级

针对漏洞成因，双方立场对立。LayerZero强调KelpDAO采用了其多次警告的“1对1”验证器架构，该模式存在单点失效风险，并宣布终止对类似配置应用的消息签名支持。而KelpDAO回应称其部署完全依照官方默认设置，且受侵节点属于底层基础设施范畴。独立研究发现，当前公开代码中多数链上部署仍默认使用单一验证源，与LayerZero所宣称的“非合规操作”说法相矛盾。

长期影响与追索进展

此为拉撒路集团本月第二起重大攻击，此前于4月1日对Drift Protocol实施2.85亿美元攻击，累计盗取金额已超5.75亿美元。目前攻击者正通过Arbitrum网络进行资产转移，并转为波场链上的稳定币以规避追踪。分析指出，此类标志性事件或将促使华尔街机构重新评估跨链桥的安全阈值，短期内抑制其对代币化项目投入意愿。尽管多验证器部署应用未受影响，但LayerZero已启动全网迁移计划淘汰单节点配置。公司正联合安全团队与执法机构推进资金追踪，然而攻击者广泛运用隐私工具，使追回工作面临巨大挑战。