上周六，DeFi领域发生了一起震惊业界的黑客攻击事件——Kelp DAO的流动性再质押代币rsETH遭受攻击，损失高达2.9亿美元。然而，更令人不安的不是攻击本身，而是事件发生后相关项目方的推诿态度，让这个标榜“去中心化、自治、无需许可”的行业暴露了脆弱的责任链条。
巨头互甩“锅”：信任在扯皮中流失
LayerZero将责任归咎于Kelp DAO选择的验证器设置（1/1 DVN配置），称这是“安全配置不足”。但Kelp DAO立即反击，表示他们只是使用了LayerZero的默认设置。而区块链安全专家Taylor Monahan指出，在超过2500个OApp跨链桥合约中，近一半使用了相同的1/1 DVN配置，许多代码注释明确写着“使用LZ默认值”。这一争议直接导致Ethena、EtherFi、WBTC、Tron和Curve等知名项目暂停了通过LayerZero的资产跨链。
Aave试图置身事外，但批评者认为它难辞其咎。作为去中心化借贷龙头，Aave允许将rsETH作为emode中的抵押品，并通过高杠杆循环操作深度整合该资产，为其提供了巨大流动性——而这正是黑客选择攻击rsETH的真正原因。Aave的风险评估仅关注市场和流动性风险，完全忽略了跨链桥配置的潜在漏洞，将风险推给了“组合性”的结构特征。
Kelp DAO在事发后沉默了48小时，仅发布了一份简短声明，确认了攻击机制（黑客通过操纵LayerZero的DVN配置，向目标地址铸造了价值2.9亿美元的rsETH），并自夸阻止了后续9500万美元的尝试。但对于用户最关心的损失如何分摊，该协议仅表示“正在评估后续步骤”，毫无实质承诺。
Arbitrum：及时出手但留下新问题
在各方互相指责时，Arbitrum安全委员会果断采取行动，拦截了黑客试图转移的30000枚ETH（约7100万美元）。链上分析确认此次攻击与朝鲜黑客组织TraderTraitor（Lazarus分支）有关，其手法与BTC Turk和ByBit攻击事件一致。Curve Finance创始人Michael Egorov评论道：“拥有没收非法资金的能力却不用，才是最糟糕的选择。”Yearn开发者banteg也乐观表示，此举可能吓阻Lazarus未来的攻击。
然而，Arbitrum的干预也引发了新问题：去中心化社区能否接受这种“中心化”裁决？未来是否需要法院命令才能冻结资产？更重要的是，如何公平地重新分配这笔巨额被没收资金？这些问题尚无答案。
市场影响与反思
此次事件直接导致140亿美元规模的DeFi生态受到冲击。rsETH价格短暂脱锚，Aave上相关借贷池的清算风险飙升，LayerZero的跨链活动骤降。用户资金被卡在协议中，面临“折价处理”（haircut）以弥补坏账的可能性。
长期以来，DeFi行业将跨链桥和验证器配置视为“组合性”的附属品，而忽略了安全责任的明确划分。这次攻击暴露出一个致命缺陷：当每个项目都声称自己只提供工具、不承担后果时，用户就成了最终买单者。
行业中有影响力的声音呼吁三方——Kelp DAO、LayerZero和Aave共同制定赔偿方案，但截至目前，各方似乎都打算“打持久战”。如果信任修复不及时，DeFi可能面临更严重的资本外流和监管压力。