一场由KelpDAO桥漏洞引发的DeFi危机正迎来转机。2026年4月18日，攻击者利用KelpDAO的Layerzero V2桥在Unichain至Ethereum的rsETH路线上制造了116,500枚虚假rsETH代币（价值约2.92亿美元），随后将其中的89,567枚rsETH作为抵押品存入Aave V3市场，并借出约82,650 WETH（约1.91亿美元）。这些头寸的健康因子维持在1.01至1.03之间，导致Aave面临最高2.301亿美元的坏账风险。
Aave协议守护者在数小时内冻结了所有rsETH和wrsETH储备，并将贷款价值比归零。但坏账规模仍需外部救助。为此，Aave服务商发起跨协议救助基金DeFi United，目标筹集足够ETH覆盖rsETH缺口。截至4月25日，该基金已募集1.6亿美元，其中Mantle和Aave DAO合计承诺55,000 ETH（约1.27亿美元）。
KelpDAO漏洞细节与连锁影响
攻击于UTC时间18:17:35在以太坊区块24,908,285发生。KelpDAO的Layerzero V2桥被配置为1-of-1 DVN，缺乏额外验证器。攻击者发送伪造的入站消息，在目标链上铸造了116,500枚无抵押rsETH。随后约89,567枚rsETH被存入Aave V3的以太坊和Arbitrum市场，导致Aave承受坏账。Aave实验室与风险管理方Llamarisk在4月20日发布报告，指出如果Kelp DAO对rsETH持有者进行均匀减记，Aave坏账约为1.237亿美元；如果损失仅由L2 rsETH持有者承担，则坏账高达2.301亿美元。其他估计显示Aave总敞口在1.96亿至2亿美元之间。
市场反应剧烈：Aave的总锁仓价值（TVL）在事件后暴跌60亿至90亿美元，AAVE代币价格下跌10%至22%。更广泛的DeFi TVL损失超过130亿美元。
DeFi United救助进展与参与者
DeFi United基金向地址defiunited.eth（0x0fCa5194baA59a362a835031d9C4A25970effE68）引导捐款。链上数据确认截至4月25日已募集1.6亿美元。主要贡献者包括：Mantle提议提供30,000 ETH作为三年期信贷（Lido质押收益+1%）；Aave DAO提议从国库中提供25,000 ETH（治理投票进行中）。其他贡献者：Aave创始人Stani Kulechov个人承诺5,000 ETH，Ether.fi承诺5,000 ETH，Lido DAO提供最多2,500 stETH，Golem Foundation捐赠1,000 ETH，Aave副总裁Emilio Frangella捐赠500 ETH，社区捐赠超过272 ETH。Ethena、Layerzero、Ink Foundation、Frax、Tydro等也提供了支持。Arbitrum安全委员会冻结了部分攻击者资金，减少了净缺口。
DeFi United被描述为DeFi历史上最大规模的协调恢复行动之一。治理投票仍在进行，基金持续接受捐款，协议正在努力恢复完整的rsETH覆盖并清除剩余坏账。