币圈界报道：

KelpDAO跨链桥遭大规模攻击，2.9亿美元资产失窃引发行业震荡

4月18日，由KelpDAO构建于LayerZero协议之上的跨链桥遭受严重安全入侵，导致约2.9亿美元的116,500枚rsETH被非法转移。该事件被初步评估为2026年以来最严重的去中心化金融攻击案例。基础设施提供商LayerZero在周一发布官方声明，指出初步调查指向朝鲜背景的“拉撒路集团”为潜在肇事方。

攻击路径与技术特征解析

攻击者通过渗透LayerZero验证器依赖的两个远程调用节点，继而向备用节点注入海量无效请求，诱导系统切换至已被操控的故障节点。一旦恶意节点完成对伪造交易的签名，跨链桥即向攻击者控制地址释放相应资产。攻击完成后，恶意程序立即执行自毁机制，清除本地二进制文件及操作日志，显著提升溯源难度。

资金外流与市场信心崩塌

此次攻击触发了剧烈的资金撤离潮。仅借贷平台Aave便在事件后流失超过100亿美元，其锁仓总值从458亿美元锐减至357亿美元。综合监测数据显示，在漏洞暴露后的48小时内，整个去中心化金融生态的总锁仓价值累计缩水逾130亿美元，市场恐慌情绪蔓延。

责任划分陷入僵局，技术配置成焦点

对于本次攻击的技术根源，双方立场对立。LayerZero强调KelpDAO采用了其多次警告风险的“1-of-1”验证器架构，该单点故障设计存在严重安全隐患，并宣布将终止为使用此类配置的应用提供消息签署服务。然而KelpDAO回应称其配置严格遵循LayerZero官方文档中的默认设定，且受侵节点属于原生基础设施组件。独立审计发现，公开部署代码在多条主链上均默认启用单一验证源模式，与其指责用户偏离规范的说法形成明显矛盾。

后续影响深远，追赃与防御升级同步推进

此为拉撒路集团在四月内发起的第二起重大攻击，此前已于4月1日对Drift Protocol实施2.85亿美元攻击，使该组织当月从DeFi领域掠夺总额突破5.75亿美元。目前，被盗资产已通过Arbitrum网络转移，并转换为波场链上的稳定币以实现洗钱。分析机构预计，此类标志性事件或将促使华尔街金融机构重新审视跨链桥底层安全，短期内抑制其对数字资产代币化项目的投资意愿。尽管采用多验证器架构的应用未受影响，但LayerZero正推动全协议范围迁移，淘汰单验证器方案。公司正联合KelpDAO、安全联盟及执法部门追踪资金流向，但攻击者广泛使用隐私工具，使得追回工作面临极大挑战。