2026 年最大的加密貨幣漏洞攻擊：Kelp DAO 被盜走 2.92 億美元，wrapped ether 困在 20 條鏈上

📄完整原文· 由 trafilatura 自動擷取Gemini 翻譯5338 字

2026年最大加密貨幣漏洞攻擊事件：Kelp DAO遭抽走2.92億美元，包裝版以太幣（wrapped ether）滯留於20條鏈攻擊者於週六從Kelp使用LayerZero技術的橋接合約中抽走116,500枚rsETH，約佔流通供應量的18%，觸發Aave、SparkLend、Fluid與Upshift的緊急凍結措施。重點摘要： - 攻擊者利用Kelp DAO以LayerZero為基礎的橋接合約漏洞，抽走116,500枚rsETH——約合2.92億美元，約佔該代幣流通供應量的18%——並觸發核心合約緊急暫停。 - 由於該橋接合約持有支撐rsETH在20多條網路上發行的儲備，此次損失引發外界對rsETH在layer 2上之擔保的疑慮，並引發Aave、SparkLend與Fluid等協議的連鎖凍結。 - 這次漏洞攻擊現為2026年最大規模的DeFi駭客事件，發生在DeFi攻擊整體激增之際，使rsETH的錨定價格與Kelp DAO履行贖回的能力承受巨大壓力。一個持有近五分之一流通量的再質押以太幣代幣的跨鏈橋剛剛被抽乾，而其後續餘波在DeFi中蔓延的速度，比Kelp DAO能暫停合約的速度還要快。攻擊者於UTC時間週六17:35從Kelp DAO以LayerZero為基礎的橋接合約中抽走116,500枚rsETH（restaked ether），以目前價格計算約價值2.92億美元，約佔CoinGecko追蹤的rsETH 630,000枚流通供應量的18%。 LayerZero是一個跨鏈訊息傳遞層，亦即讓不同區塊鏈能互相傳送經驗證指令的基礎設施。Kelp DAO則是一個流動性再質押協議，接收使用者存入的ETH，透過EigenLayer將其導入，在標準以太坊質押獎勵之上賺取額外收益，並發行rsETH作為可交易的憑證。被抽乾的橋接合約持有用以支撐部署在20多條其他區塊鏈上的rsETH包裝版本的儲備。攻擊者誘使LayerZero的跨鏈訊息傳遞層誤以為收到了來自另一網路的有效指令，進而觸發Kelp的橋接合約將116,500枚rsETH釋放至攻擊者控制的地址。 Kelp的緊急暫停多重簽名（multisig）在成功抽走資金的46分鐘後，即UTC時間18:21，凍結了協議的核心合約。後續於UTC時間18:26與18:28的兩次嘗試均被撤回，每次都攜帶相同的LayerZero封包，企圖再抽走40,000枚rsETH，約合1億美元。 rsETH部署於20多條網路上，包括Base、Arbitrum、Linea、Blast、Mantle與Scroll，由LayerZero的OFT標準處理跨鏈移轉。存放於橋接合約中的rsETH是支撐每一條layer 2區塊鏈（即在以太坊之上運行的網路）上包裝版本的儲備。隨著該儲備被抽乾，在非以太坊部署上的持有者如今面臨他們的代幣是否還有任何底層支撐的疑問，這形成一個反饋迴圈：L2上的恐慌性贖回對未受影響的以太坊供應形成壓力，可能迫使Kelp解除再質押部位以兌付提領。連鎖反應清單很長，而且仍在擴大。 Aave在數小時內凍結了V3與V4上的rsETH市場，創辦人Stani Kulechov確認該漏洞攻擊屬於外部事件，Aave的合約並未遭到入侵。SparkLend與Fluid亦凍結了各自的rsETH市場。 AAVE在市場預期可能出現壞帳的情況下下跌約10%。 Lido Finance暫停了其earnETH產品的進一步存款，因該產品涉及rsETH敞口，同時澄清stETH與wstETH不受影響，Lido核心質押協議也未涉入此事件。 Ethena作為預防措施，暫時暫停了其從以太坊主網出發的LayerZero OFT橋接，表示其無rsETH敞口，仍維持101%以上的超額抵押。這家穩定幣發行商表示，暫停期間約為六小時，以查明根本原因。 Kelp作為KernelDAO旗下的產品，於UTC時間20:10在X上發布首則公開貼文承認此事件，距離資金被抽走已將近三小時。該協議表示正與LayerZero、Unichain、其審計方以及外部安全專家共同調查。它尚未揭露此漏洞是如何繞過橋接合約的驗證邏輯。 rsETH能否在週末維持錨定價格，取決於有多少跨鏈流通量試圖在以太坊上贖回為ETH，以及Kelp是否能在Tornado Cash的追蹤線索斷掉之前追回任何部分的被盜資金。此次駭客事件發生在DeFi格外艱困的時期。基於Solana的永續合約協議Drift於4月1日遭抽走約2.85億美元，這次攻擊後來被連結至與北韓有關聯的行為者，自此之後至少有十多個較小型協議遭到漏洞攻擊，包括CoW Swap、Zerion、Rhea Finance與Silo Finance。 Kelp的2.92億美元損失現為2026年最大規模的DeFi漏洞攻擊事件，以數百萬美元的差距超越Drift。更多推薦閱讀 Parasite Pool支付1 BTC給找到區塊的礦工，並將其餘部分分配給所有參與者，於週五挖出第945,601號區塊，距離其首次挖出區塊約48天。重點摘要： - Parasite Pool是一個專為家用礦工設計、採用創新混合支付模式的比特幣礦池，已挖出其第二個區塊#945,601，距離首個區塊約48天。 - 此礦池將1枚比特幣直接支付給找到區塊的礦工，並將剩餘的2.125枚比特幣加上手續費按比例分配給所有參與者，無需礦池……

資料狀態✓ 已擷取全文閱讀原文（CoinDesk）

🔍歷史類似事件· 關鍵字 + 標的比對6 則

2026-04-18

2026 年最大的加密貨幣漏洞攻擊：Kelp DAO 遭駭 2.92 億美元，wrapped ether 被困在 20 條鏈上

相似度 580%關鍵字 chains/million/ether

2026-04-22

Kelp DAO 遭駭 2.92 億美元一事顯示，為何 crypto bridges 仍是該產業最脆弱的環節之一

相似度 280%關鍵字 million/crypto/dao

2026-04-21

Arbitrum 凍結了與 Kelp DAO 漏洞攻擊相關的 7100 萬美元 ETH

相似度 280%關鍵字 million/ether/dao

2026-04-27

由 Aave 領軍的「DeFi United」救援行動籌集了 3 億美元，以彌補 Kelp DAO 漏洞攻擊造成的損失

相似度 230%關鍵字 exploit/kelp/dao

2026-04-26

Aave 已籌集近 80% 的資金，以填補 Kelp DAO 漏洞所造成的 2 億美元壞帳。

相似度 230%關鍵字 exploit/kelp/dao

2026-04-21

Kelp DAO 攻擊者在漏洞利用後轉移了 1.75 億美元的 ETH：Arkham

相似度 230%關鍵字 ether/exploit/dao

💡 目前用關鍵字 + 標的比對（MVP）· 之後會升級為 embedding 語意搜尋

原始資訊

ID：43fdf10d39

來源：CoinDesk

發佈：2026-04-18 19:53:55

分類：一般 · 導出分類 neutral

標的：未指定

社群投票：+0 / −0 · ⭐ 0 重要 · 💬 0 留言