一场由KelpDAO跨链桥漏洞引发的DeFi坏账危机正被行业协作化解。据DeFi United官方确认，截至2026年4月25日，该跨协议救助基金已筹集约1.6亿美元，用于覆盖Aave V3市场上因攻击者存入未担保抵押品而产生的“坏账”（bad debt）。
事件始末：伪造的rsETH攻破Aave
攻击发生于2026年4月18日17:35 UTC，Ethereum区块24,908,285。攻击者利用KelpDAO在Unichain至Ethereum的Layerzero V2桥配置缺陷（使用了1-of-1 DVN且无额外验证器），提交伪造的入站消息，凭空铸造了116,500枚未担保rsETH代币（当时价值约2.92亿美元）。随后约89,567枚rsETH（约2.21亿美元）被存入Aave V3的Ethereum和Arbitrum市场作为抵押品，攻击者借出约82,650枚WETH（约1.91亿美元）及少量wstETH。
这些头寸的健康因子（Health Factor）介于1.01至1.03之间，意味着全额偿还极不可能。Aave的智能合约本身未被利用，坏账完全源于外部不安全抵押品。
紧急应对：冻结储备与风险报告
Aave Protocol Guardian在数小时内响应，于18日19:00 UTC冻结了所有rsETH和wrsETH储备，将贷款价值比（LTV）设为零，并调整了利率模型以缓解流动性压力。Aave Labs与风险管理者Llamarisk在4月20日发布正式事件报告，建模了两种坏账情景：若Kelp DAO均匀分摊损失，Aave坏账约1.237亿美元；若损失仅由L2 rsETH持有者承担，坏账则高达2.301亿美元。其他估计将Aave总敞口定于1.96亿至2亿美元之间。
市场反应剧烈：Aave总锁仓价值（TVL）在事件后几天内下降60亿至90亿美元，AAVE代币价格下跌10%至22%，DeFi整体TVL损失一度超过130亿美元。
行业救援：DeFi United迅速集结1.6亿美元
为遏制危机蔓延，Aave服务商发起了跨协议救助基金“DeFi United”，捐款定向发送至defiunited.eth（地址0x0fCa5194baA59a362a835031d9C4A25970effE68）。截至4月25日，Arkham Intelligence确认基金已收到1.6亿美元捐款。其中Mantle承诺提供最多3万枚ETH（三年期信贷，利率为Lido质押收益率+1%），Aave DAO提议从国库拨付2.5万ETH（治理投票进行中），两者合计5.5万ETH（约1.27亿美元）。
此外，Aave创始人Stani Kulechov个人承诺5000 ETH，Ether.fi承诺5000 ETH，Lido DAO提供最多2500 stETH，Golem Foundation提供1000 ETH，Aave VP Emilio Frangella提供500 ETH，社区链上捐款超过272 ETH。Ethena、Layerzero、Ink Foundation、Frax和Tydro也提供了支持。
Arbitrum Security Council冻结了部分攻击者资金，缩小了基金缺口。另一个针对4万rsETH的恶意交易被Kelp逆转并恢复。DeFi United被参与者称为DeFi历史上规模最大的协调恢复努力之一。
目前治理投票仍在进行，基金继续接受捐赠，协议正努力恢复rsETH全额覆盖率并清除剩余坏账。