2024年11月15日，Lido DAO正式确认其EarnETH金库因KelpDAO桥遭遇毁灭性漏洞攻击，面临约2160万美元的风险敞口。此次事件源于KelpDAO桥约2.92亿美元的大规模攻击，该攻击导致11.65万枚rsETH被非法铸造并抽走流动性。Lido立即启动应急响应，暂停EarnETH金库的赎回，并评估精确影响。核心Lido质押协议及其主要流动性质押代币stETH和wstETH未受影响。
风险传导机制
EarnETH金库在Aave借贷平台上持有杠杆化rsETH头寸，价值约2160万美元，占金库总资产9%。rsETH的价值完全依赖于KelpDAO桥，该桥被攻击后，rsETH的可赎回性和市场价值受到严重质疑。Lido团队正在积极核算对金库参与者的财务冲击。同时，协议已激活其300万美元第一损失保护机制，作为内部保险层吸收初始损失。
KelpDAO桥攻击细节
链上分析显示，攻击者利用桥接智能合约漏洞，未经授权铸造了116,500枚rsETH（价值约2.92亿美元），随后迅速从多个DEX抽走流动性。此次攻击再次凸显桥接安全这一DeFi核心挑战。桥梁作为跨链资产传输通道，其复杂代码和托管模型常成为高危目标。此前Ronin Bridge、Wormhole等重大桥接攻击已警示过类似风险。
DeFi风险管理与协议依赖
EarnETH金库并未遭受自身智能合约的直接攻击，而是因对手方风险和资产贬值风险，通过集成Aave和持有rsETH而受到波及。这种风险级联揭示了现代DeFi中协议互依性的危险。风险管理专家强调，审查不仅要关注主协议，还必须审计所有整合资产和合作伙伴的安全状况。
关键风险因素包括：杠杆头寸放大损失、对桥接资产（rsETH）的依赖、以及流动性依赖于rsETH的活跃市场。
Lido应对策略与用户保护
Lido治理和运营团队已实施多步缓解措施：及时向社区披露风险；暂停赎回以稳定金库核算；明确核心质押操作安全无虞。300万美元第一损失基金体现了主动风险管理的承诺。该基金在损失影响用户资金前提供缓冲，最终使用方式将在完成rsETH头寸审计后由社区投票决定。
市场影响分析
此事件对LSD（流动性质押衍生品）生态构成压力测试。作为头部协议，Lido通过架构隔离主质押引擎与附属收益金库，旨在控制风险。市场反应将成为投资者信心的关键指标。历史经验表明，沟通清晰且有保险机制的事件通常长期损害有限。
事件可能推动行业趋势：加强第三方桥接提供商尽职调查；对杠杆金库采取更保守抵押政策；增加协议自有保险或国库担保。其他流动性质押协议预计将审查自身集成与风险敞口。
总结
Lido EarnETH金库暴露事件揭示了DeFi复杂风险网络。虽然2160万美元头寸重大，但Lido的结构化应对和保护机制旨在减轻用户损失。核心协议完整性未受破坏，这对以太坊生态系统至关重要。所有DeFi参与者应深刻反思：不仅要关注协议的自身安全，还必须审视其金融栈中每个资产和合作伙伴的稳健性。最终结果将取决于被利用的rsETH资产的可恢复性以及Lido风险管理框架的有效性。
常见问题
Q1：我的stETH或wstETH安全吗？
A1：安全。Lido明确表示该事件不涉及核心质押协议、stETH或wstETH。风险仅限于特定收益金库产品。
Q2：300万美元第一损失保护机制是什么？
A2：该资金池旨在吸收特定产品中初始损失，保护用户资金，本质是内部保险层。
Q3：EarnETH金库赎回何时恢复？
A3：Lido已暂停赎回以评估影响，恢复时间将待分析完成后公布。
Q4：桥接攻击如何影响其他协议的金库？
A4：金库持有rsETH，其价值完全依赖KelpDAO桥。桥被攻击后，代币价值受损，影响所有持有人，包括其他协议的金库。
Q5：DeFi收益金库用户应从该事件学到什么？
A5：用户必须了解收益策略所依赖的具体资产和协议。风险不仅包括金库自身代码，还包括持有资产（如桥接代币）的安全以及整合平台（如借贷市场）的安全性。分散投资和理解对手方风险至关重要。