KelpDAO事件：跨链桥的致命弱点
4月中旬，restaking协议KelpDAO遭遇了灾难性的攻击。攻击者通过伪造LayerZero跨链消息，凭空铸造了约11.65万枚无抵押的rsETH，这些虚假资产随即被用作Aave的抵押品，借出了真实ETH，造成约2.3亿美元坏账。
这起事件的精妙之处在于攻击路径的设计。攻击者没有直接攻击KelpDAO的智能合约逻辑，而是瞄准了其与LayerZero跨链桥的连接点——这是一个单点故障，却足以让整个防御体系崩塌。
事件发生后，Aave首当其冲，约8.45亿美元资金流出，用户出于对风险蔓延的恐惧纷纷撤离。DeFi TVL在48小时内蒸发超130亿美元。
Drift Protocol：治理攻击的新范式
就在KelpDAO事件余波未平之际，Drift Protocol又传来噩耗。这家建立在Solana网络上的领先货币市场协议损失了约2.85亿美元，但这次的攻击手法与KelpDAO截然不同。
Drift遭受的是一次精心策划的治理攻击。攻击者利用Solana的持久化Nonce机制，结合社会工程学手段渗透内部系统，最终控制了协议的核心功能。整个过程中，没有发现智能合约逻辑漏洞。
Lazarus组织：国家支持的黑客威胁
两起事件的调查都指向了同一个目标：朝鲜Lazarus组织。这个被多国政府认定的国家支持黑客组织，已经成为DeFi领域最危险的对手。
更令人警惕的是攻击向量的演变。数据显示，2020年至2026年间，协议逻辑漏洞导致的损失占比从37%下降到约5%，但密钥泄露、基础设施漏洞、CEX漏洞和UI供应链攻击占比高达80%至95%。Code audits不再是安全的终结方案。
社区自救：DeFi United的力量
在最黑暗的时刻，DeFi社区展现出了令人动容的团结。
Aave创始人Stani率先捐赠5000 ETH，随后ether.fi、Lido Finance、Mantle等协议纷纷加入援助行列。截至4月26日，DeFi United社区已筹集约1.6亿美元，虽然仍不足以完全覆盖KelpDAO造成的漏洞缺口，但已覆盖约一半。
安全范式的根本转变
透过这些事件，我看到了DeFi安全范式的根本转变：安全威胁正在从”技术漏洞”转向”人为因素”和”系统复杂性”。
DeFi正在经历”创造性破坏”。旧的叙事正在崩塌，新的秩序正在建立。那些能够在混乱中保持清醒、在危机中展现担当的协议，终将赢得市场的尊重。
发表回复