被盜2.9億、三方互不認賬,KelpDAO事件的解決方案該由誰買單?
原文標題:《2.9 億漏洞下的三方博弈:Aave、L0、Kelp 誰能負責?》
原文作者:Azuma,Odaily 星球日報
距離 Kelp DAO 的 rsETH 橋接合約被盜用已經過去了超過 30 個小時,涉事各方(LayerZero、Kelp DAO、Aave)雖陸續有所表態(主要是在「甩鍋」,強調自身無錯),但暫時仍未給出最終解決方案。
因此,本文想要聊聊涉事各方當下的立場與態度,探討造成方案敲定遲緩的原因,並嘗試猜測事件最終可能會如何解決。
律動注:前情提要可參閱《程式碼沒問題也被盜,2026 最大駭客案禍首「DVN 配置漏洞」是怎麼回事?》。
到底誰該負責?
首先先來討論下定責問題。
根據 LayerZero 方面的細節披露,事件發生的直接原因已相當清晰,即 LayerZero 運營的去中心化驗證器網路(DVN)所依賴的下游 RPC 基礎設施被攻破(參見下圖慢霧創始人余弦的分析),且由於 Kelp DAO 的橋接合約採用了 1/1 的 DVN,攻擊者只需完成一筆偽造的消息驗證,就足以完成攻擊。

LayerZero 方面認為,採用了 1/1 DVN 配置的 Kelp DAO 是本次事件最直接的責任方。這沒什麼好說的,如此明顯的「單點故障」屬實離譜。
但作為底層跨鏈協議 LayerZero 也理應背負部分責任。LayerZero 允許每個上層應用自行配置 DVN 的數量和閾值,雖然 1/1 的 DVN 是 Kelp DAO 的自行選擇,但作為底層架構的設計方,也應規避此版存在明顯缺陷的設定。
最後則是 Aave 等借貸協議(在此重點說 Aave),雖然也屬於間接受害的一方,但客觀來說 Aave 出於擴張目的給予了 rsETH 等 LRT 資產過高的借貸權限,也是導致其陷入當前被動局面的直接原因。此外值得一提的是,Aave 前風控團隊 BGD Labs(現已和 Aave 分手)去年 1 月曾明確指出過 Kelp DAO 的 DVN 問題,Kelp 當時接納了建議,但顯然並未修改……Aave 未繼續監督並採取對應措施,也是自食其果。

所以定責是很清晰的,Kelp DAO 主責,LayerZero 次責,Aave 也有部分間接責任。
尷尬的現實
現實狀況永遠比理論預期複雜。最關鍵的問題在於,應負主要責任的 Kelp DAO 團隊拿不出這麼多錢來補坑洞……直接從所有 rsETH 中總減計損失也好,背叛 Layer 2 持幣者也罷,本質上都是死路一條。
那麼誰有錢呢?第一個是因本次事件而遭遇聲譽危機,已被 Bitgo、Tron、Ethena、Curve、ether.fi 等多家機構及協議暫時禁用,眼看著可能丟失大量跨鏈份額的 LayerZero;第二個是面臨著巨額潛在壞賬,正看著上百億美元 TVL 流失的 Aave。
所以現在各方的「鬼胎」就很清晰了。主責方 Kelp DAO 基本已癱瘓,無力主導後續賠付,該怎麼辦需要和兩位大哥商量;與此同時,擁有賠付實力的次責方和間接責任方 LayerZero 和 Aave 都已表態自身協議並不存在漏洞,擺明了不打算輕易接下這麼大一口壺……所以現在局面似乎有些僵住了。
但我並不認為這一情況會持續太久,原因在於兩大協議都有著盡快解決問題的需求——LayerZero 不可能放棄自己的 OFT 跨鏈生態版圖;Aave 也不可能無視存量資金的持續外流。
各方博弈的關鍵
今天早上,Aave 曾就本事件發布了更新聲明,聲明中最重要的一個信息點在於——Aave 強調「以太坊主網上的 rsETH 是有著充足支撐的」。
這句話該怎麼理解?需要從 rsETH 的設計說起。
rsETH 本質上是 Kelp DAO 發行的一種流動性再質押憑證代幣,每 1 枚的 rsETH 的底層都有著 1 枚處於質押及再質押系統中的 ETH 支撐,其路徑為「ETH - Lido - EigenLayer - Kelp DAO - rsETH」。
主網上的 rsETH 即 Kelp DAO 在以太坊上所發行的原始憑證代幣,之後為了在 Layer 2 生態內進行擴張,Kelp DAO 會依託 LayerZero 的跨鏈橋接合約(也就是本次事件出事的東西)將主網 rsETH 映射至各大 Layer 2。每 1 枚 rsETH 被發行在 Layer 2 的同時,主網上的 rsETH 也會被存入 Kelp DAO 的托管合約,待 Layer 2 上的 rsETH 跨鏈回主網時才會釋放。
好了,現在回到事故本身。前文提到過被盜原因,即黑客通過欺騙 DVN 伪造了跨鏈消息,致使橋接合約「誤釋放」了 116500 枚 rsETH——注意,這並非凭空印刷了新幣,而從主網上拿到了本不該被釋放的原始憑證代幣。

問題正在於此,這部分代幣本已通過映射方式在 Layer 2 之上流通,主網上的代幣處於封存狀態,可黑客得手之後卻將其存入了 Aave 等借貸協議並借出了流動性更好的 WETH,從而完成出逃——再次強調,黑客存入的 rsETH 是真實的,所以 Aave 才會支持該代幣的抵押借貸行為。
現在再來回看 Aave 的聲明就很有趣了。「以太坊主網上的 rsETH 是有著充足支撐的」這句話其實就是在說:「這些幣都是真的啊,Kelp DAO 你小子應該支持我們拿這些幣去贖回底層的 ETH(合約暫停,現在贖回不了)……至於那些失去主網 rsETH 支撐的 Layer 2 映射版 rsETH,我管不了了!」
這應該就是 Aave 的傾向。雖然強調主網 rsETH 的價值意味著將無視 Layer 2 映射版 rsETH 的價值,且由於 Aave 本身在 Layer 2 之上的借貸產品中也有一定的 rsETH 債務頭寸(實時規模約為 3.59 億美元),這也會造成一定的壞賬。但兩害相權取其輕,Aave 大概率是評估了兩個選項的潛在影響,認為保住主網核心產品更符合其最大利益。
但這只是 Aave 一家的表態,事件最終該如何解決,還得看是否能與 LayerZero 以及 Kelp DAO 達成一致。
雖然後者暫時尚未有進一步的聲明,但我個人認為 LayerZero 很難接受這一方案,因為放棄 Layer 2 對應代幣將直接威脅到 LayerZero 的跨鏈商譽。
潛在解決方案
問題終究是要解決的。這兩天社交媒體上的各路大佬也都在給 Aave、LayerZero、Kelp DAO 出主意。
DefiLlama 創始人 0xngmi 對三種可能的路徑進行了推演,但也表示三種路徑均有明顯缺陷。第一條路是所有 rsETH 持幣者共同承擔 18.5%(丟失代幣/發行代幣的比例)的價值減計,Kelp DAO 自己背好鍋,Aave 也要承擔主網上大概 2.16 億美元的壞賬;第二條路是無視所有 Layer 2 對應版 rsETH 的價值,這樣 Aave 的主網產品將得以保全,但 Layer 2 版圖很可能會崩潰,Kelp DAO 商譽也會歸零;第三條路是對黑客攻擊發生前的 rsETH 持有人按快照全額償還,後續買入或轉移的持有人則自行承擔損失,但由於資金在攻擊後已大量流動,實際幾乎不可能操作完成。
OneKey 創始人 Yishi 則表示:「現在最好的結果是能跟黑客談,給個 10–15% bounty,把大頭要回來,皆大歡喜。談不攏的話 LayerZero 生態基金出大頭,它最有錢、最有長期利益,賠了還能保住 OFT 生態。Kelp DAO 最窮,要么代幣 + 未來收入補,或者幹脆整個項目打包賣給 LayerZero 或 Bitmine。Aave 的 Umbrella 和 stkAAVE 兜底最後一層,但 WETH 儲戶絕對不能吃價值減計,不然的話 Morpho、Spark、Fluid、Euler 全部跟著重定價,LRT 賽道整體被拉黑,整個 DeFi 行業倒退三年。」
無論如何,各方肯定是要繼續再掰扯一陣子的,畢竟涉及到上億級別的真金白銀,誰也不想當那個最大的冤種。
至於還需要多少時間給出方案,前邊也提到了,兩大巨頭都不敢拖太久。LayerZero 現在被各大合作機構、協議強制按下了暫停鍵,拖久了這些合作方肯定會換跨鏈路徑;Aave 情況也不容樂觀,多個資金池的使用率都已達到了 100%,存款人處於「套牢」狀態……如果 ETH 突然猛跌,Aave 很可能會因為無法有效清償(目前確實如此)而出現更多壞賬,最終會導致問題像滾雪球一樣越滾越大——真要到了這一步,行業的根基可能都會受挫,顯然沒人會樂意看到這種情況。
Original Article Link
猜你喜歡

消費級 Crypto 全球普查:用戶、收入與賽道分布

偏見之下的預測市場

ASTEROID三天萬倍,Meme季回到了以太坊?

ChainCatcher 香港主題論壇精彩回顧:解碼加密資產與智能經濟融合下的增長引擎

當頭部加密 VC 規模全面縮水,為何這家機構還能增長 150%

ZachXBT 發帖引爆 RAVE 接近歸零,內幕控盤真相幾何?

Anthropic 的一兆,与 DeepSeek 的 100 亿

地緣風險持續,比特幣成為關鍵風向標?

年化11.5%,Wall Street Bets的话题爆点,MicroStrategy 的 STRC 到底是比特币的救世主還是毀滅者?

一個沒人看的開源AI工具,12天前就預警了Kelp DAO的2.92億美元漏洞

Mixin推出U本位永續合約,將衍生品交易帶入聊天場景
專注隱私的加密錢包 Mixin 今日宣布推出其 U 本位永續合約(以 USDT 計價的衍生品)。與傳統交易所不同,Mixin 採取了一種新的路徑:將衍生品交易從孤立的撮合引擎中「解放」,嵌入到即時通訊環境之中。
使用者可以在應用內直接開設最高 200 倍槓桿的倉位,同時在私密社群中分享持倉、討論策略並進行跟單。交易、社交互動與資產管理被整合進同一界面之中。
基於其非托管架構,Mixin 去除了傳統入門流程中的摩擦,使用者無需身份驗證即可參與永續合約交易。
交易流程被壓縮為五個步驟:
·選擇交易資產
·選擇做多或做空
·輸入倉位規模與槓桿
·確認訂單詳情
·確認並開倉
介面提供價格、倉位與盈虧(PnL)的即時可視化,使用者無需在多個模組之間切換即可完成交易。
Mixin 將社交功能直接嵌入衍生品交易環境中。使用者可以創建私密交易社群,並圍繞即時持倉進行互動:
·最多支援 1024 人的端到端加密私密群組
·端到端加密語音通訊
·一鍵分享持倉
·一鍵複製交易
在執行層面,Mixin 聚合多方流動性來源,通過統一交易介面接入去中心化協議與外部市場的流動性。
通過將社交互動與交易執行結合,Mixin 使使用者能夠在同一環境中協作、分享並即時執行交易策略。
Mixin 同時推出基於交易行為的推薦激勵體系:
·使用者可綁定邀請碼參與
·最高可獲得 60% 的交易手續費分成
·激勵機制面向長期、持續收益設計
該模型旨在推動使用者驅動的網路擴張與自然增長。
Mixin 的衍生品交易建立在其現有的自托管錢包基礎設施之上,核心特性包括:
·交易帳戶與資產存儲分離
·用戶對資產擁有完全控制權
·平台不託管用戶資金
·內建隱私機制以降低數據暴露
該系統旨在在交易效率、資產安全與隱私保護之間實現平衡。
在永續合約成為主流交易工具的背景下,Mixin 正嘗試通過降低門檻、強化社交與隱私屬性,探索不同的發展方向。
平台並不只將交易視為執行行為,而是將其定位為一種網絡化活動:交易具備社交屬性,策略可以共享,人與人之間的關係也成為金融體系的一部分。
Mixin 的設計基於用戶自主發起、用戶自主控制的模型。平台既不託管資產,也不代表用戶執行交易。
這一模式與美國證券交易委員會(SEC)交易與市場部於 2026 年 4 月 13 日發布的聲明相呼應。該聲明標題為《針對用於準備加密資產證券交易的部分用戶界面是否需要經紀交易商註冊的工作人員說明》。
聲明指出,在交易完全由用戶自主發起與控制的前提下,提供中立界面的非託管服務提供商,可能無需註冊為經紀交易商或交易所。
Mixin 是一個去中心化、自托管的隱私錢包,旨在提供安全高效的數位資產管理服務。
其核心能力包括:
·聚合能力:整合多鏈資產,並在不同交易路徑間進行路由,簡化用戶操作
·高流動性接入:連接多種流動性來源,包括去中心化協議與外部市場
·去中心化:無需依賴託管中介,實現用戶對資產的完全控制
·隱私保護:通過 MPC、CryptoNote 與端到端加密通訊,保護資產與數據
Mixin 已營運超過 8 年,支持 40 多條區塊鏈與 1 萬多種資產,全球用戶超過 1000 萬,鏈上自托管資產規模超過 10 億美元。

20天被盜6億美元,幣圈的AI駭客時代來臨

Vitalik 2026香港Web3嘉年華演講:以太坊作為「世界計算機」的終極願景與未來規劃

在Aave引入rsETH的同一天,Spark為什麼選擇退出?

全面檢討KelpDAO事件:沒有被駭的Aave,為什麼陷入危機?

2.9億美元蒸發後,DeFi的安全承諾還在嗎?

Vitalik 2026 香港 Web3 嘉年華演講全文:我們不拼速度,安全和去中心化才是核心


