Kelp DAO遭窃2.9亿美元：系朝鲜黑客组织利用跨链桥漏洞所为

要点概述

通过连接LayerZero验证系统的RPC节点遭受复杂攻击，Kelp DAO损失约2.9亿至2.93亿美元。据称Kelp DAO未采纳LayerZero部署多重验证器的安全建议，仅运行单一验证器。初步证据指向朝鲜的Lazarus组织为此安全事件的幕后黑手。包括Aave在内的九个DeFi平台遭受连锁冲击，其中Aave的总锁定价值下降60亿美元。LayerZero宣布未来将不再支持采用单一验证器配置的应用程序。

事件经过

作为2026年最严重的去中心化金融安全事件之一，Kelp DAO在周末攻击中损失约2.9亿至2.93亿美元。涉事的跨链通信协议LayerZero将漏洞归因于Kelp的基础设施决策。攻击焦点集中于Kelp跨区块链网络的rsETH代币转移机制，其单一验证器架构意味着仅需一个验证机构即可批准跨链交易。LayerZero表示曾明确警示该配置风险，并建议采用多重独立验证源。

攻击者侵入两个远程过程调用节点（这类专用服务器可实现软件与区块链数据交互），将合法节点替换为受感染版本。这些恶意节点向LayerZero验证系统传递虚假信息，同时在其他基础设施组件面前维持正常表象。由于LayerZero验证流程同时查询合法外部节点，攻击者发动分布式拒绝服务攻击瘫痪这些系统，在太平洋时间周六上午10:20至11:40的80分钟内，将网络流量重定向至受感染基础设施。

当故障转移机制激活时，恶意节点向验证器发送合法交易确认。Kelp的桥接协议随即向攻击者钱包释放116,500枚rsETH。恶意软件随后自我清除，抹去受影响服务器的所有取证证据。

DeFi生态的连锁冲击

被盗的rsETH代币被作为抵押品部署于多个借贷平台，使攻击者得以提取真实资产。占据主导地位的去中心化借贷平台Aave承受了最严重的冲击，其持有的rsETH抵押品丧失流动性，而ETH等高价值资产已通过借贷机制被提取。Aave原生代币24小时内暴跌约15%，随着参与者争相撤资，该协议遭遇约60亿美元的资金外流。

至少九个DeFi应用遭受波及，包括Fluid、Compound Finance、SparkLend和Euler。网络安全公司Cyvers将该事件定性为“跨协议传染事件”，其影响远超单一平台漏洞。LayerZero初步判定此次攻击与朝鲜Lazarus组织（特别是其TraderTraitor分部）有关。该组织此前涉嫌参与4月1日2.85亿美元的Drift Protocol攻击事件，表明Lazarus在18天内通过两种不同攻击手法从去中心化金融领域提取超过5.75亿美元。

安全协议调整

LayerZero报告称未发现漏洞蔓延至采用多重验证器架构的应用程序。该公司已恢复验证服务，并宣布永久性政策：拒绝为任何采用单一验证器配置的应用处理消息。Curve Finance创始人Michael Egorov强调，此次事件揭示了依赖单一交易验证源的固有风险，同时建议非必要情况下避免使用跨链基础设施。

Ledger首席技术官Charles Guillemet指出，2026年“很可能成为黑客攻击最严重的年份”。2026年第一季度加密货币相关安全事件损失已超过4.82亿美元。Kelp至今未对LayerZero的事件说明作出回应，也未解释为何在收到明确安全警告后仍维持单一验证器架构运行。