吴说区块链报道，Kelp DAO 遭遇了一次大规模跨链漏洞利用，损失了约 116,500 枚 rsETH，价值近 2.92 亿美元。此次事件再次引发了人们对该协议安全性的担忧，距离上次因智能合约漏洞导致的中断还不到一年。
Kelp DAO 迅速响应阻止了额外的漏洞利用尝试
根据区块链数据，此次对 Kelp DAO 的攻击利用了跨链通信中的一个弱点，特别是针对用于跨网络转移资产的桥接机制。该漏洞利用是通过调用 LayerZero 的 EndpointV2 上的“Iz Receive”函数执行的，该函数最终触发了向攻击者控制的钱包释放资金。
链上侦探 ZachXBT 是最早发现此次漏洞的人之一，他估计在以太坊和 Arbitrum 上的损失超过 2.8 亿美元。这位区块链调查员还指出，攻击地址最初是通过 Tornado Cash 获得资金的，这表明攻击者为这次高度协同的攻击刻意隐藏了资金来源。
今天早些时候，我们发现了涉及 rsETH 的可疑跨链活动。我们已暂停主网及多个 L2 网络上的 rsETH 合约，同时展开调查。
我们正在与 @LayerZero_Core, @unichain, 我们的审计方以及顶级安全专家合作进行根本原因分析 (RCA)。
我们将随时向您通报...
— Kelp (@KelpDAO) 2026年4月18日
针对此次攻击，Kelp DAO 立即暂停了其主网及所有连接的 L2 网络上的所有 rsETH 合约。该协议还冻结了其核心合约和系统（涵盖存款、提现和预言机功能）的活动。据 Kelp DAO 称，目前正与 LayerZero 和 Unichain 进行持续调查。
值得注意的是，攻击者试图进行两笔额外的交易以再次盗取 40,000 枚 rsETH，价值近 1 亿美元。然而，Kelp DAO 的迅速措施确保了这两次尝试均告失败，从而避免了损失增加到 3.91 亿美元。
Aave 冻结 rsETH 合约
另一方面，事件的负面影响迅速蔓延至 Kelp DAO 之外，借贷协议也感受到了直接压力。最大的 DeFi 借贷平台之一 Aave 做出回应，冻结了其 V3 和 V4 版本中的所有 rsETH 市场。
不过，Aave 已澄清其自身的智能合约并未被利用，此举纯属预防措施，旨在限制对 rsETH 的进一步债务风险，同时他们正在研判局势。Aave 管理层也承诺，如果此次漏洞利用事件产生任何坏账，将评估潜在的缓解策略。
Aave V3 和 Aave V4 上的 rsETH 市场已被冻结。Aave 的合约未被利用，此次事件与 rsETH 相关。
此次冻结是在 Kelp DAO rsETH 桥接遭遇漏洞利用之后进行的。冻结 rsETH 市场可防止新的存款和以 rsETH 为抵押的借款...
— Aave (@aave) 2026年4月18日
rsETH 本身是一种流动性再质押代币，旨在代表已质押的 ETH，同时允许用户通过再质押策略赚取额外收益。它在跨链 DeFi 中扮演着关键角色，使得资金能够在包括 Arbitrum、Base 和 Scroll 在内的多个网络间无缝流动。 此次漏洞利用的规模尤其具有破坏性，因为被盗资金约占 rsETH 总流通供应量的 18%，这对流动性和用户信心都造成了重大打击。
