一场协调有序的去中心化金融（DeFi）救援行动已筹集1.6亿美元，用于覆盖4月18日攻击者利用KelpDAO桥漏洞并向Aave V3市场存入无抵押资产后产生的坏账。据CryptoComLearn报道，截至4月25日，多协议救助基金DeFi United已到位1.6亿美元，其中Mantle与Aave DAO合计承诺了5.5万ETH（约合1.27亿美元）。
攻击过程：伪造跨链消息铸造11.65万枚无抵押rsETH
攻击发生在以太坊区块24,908,285（UTC时间17:35）。攻击者瞄准Kelp DAO在Unichain到以太坊的rsETH跨链桥（使用Layerzero V2），该桥配置为1-of-1 DVN（动态验证网络），没有额外验证器。攻击者提交了一个伪造的入站数据包，在未锁定或销毁源链资产的情况下，凭空铸造了11.65万枚无抵押rsETH，当时价值约2.92亿美元。
攻击者迅速行动：约89,567枚rsETH（约2.21亿美元）被作为抵押品存入以太坊和Arbitrum上的Aave V3市场，随后借出了约82,650枚WETH（约1.91亿美元）及少量wstETH。这些头寸的健康因子在1.01-1.03之间，几乎不可能全额还款。Aave的智能合约本身未被利用，坏账完全源于无抵押的外部资产。
Aave紧急响应：冻结储备、调整参数
Aave协议守护者在数小时内做出反应。UTC时间4月18日19:00左右，所有V3部署中的rsETH和wrsETH储备被冻结，贷款价值比归零，利息模型也被调整以管理流动性压力。Aave Labs与风险管理机构Llamarisk于4月20日发布正式事件报告，模拟了两种损失情景：若Kelp DAO对所有rsETH持有者实施统一减记，Aave上的坏账约为1.237亿美元；若仅对L2 rsETH持有者隔离损失，坏账则高达2.301亿美元。其他估计将Aave的总敞口定为1.96亿至2亿美元。
市场反应剧烈。事件发生后几天内，Aave的总锁仓价值（TVL）下降了60亿至90亿美元；AAVE代币价格在短期内下跌10%至22%；更广泛的DeFi TVL损失据报道超过130亿美元。
DeFi United救援：多方协同募资1.6亿美元
为控制事态，Aave服务提供商发起了DeFi United多协议救援基金，捐款目标地址为defiunited.eth（以太坊地址0x0fCa5194baA59a362a835031d9C4A25970effE68）。该基金最初建模需要覆盖6.89万至10万枚ETH的缺口，具体取决于回收和最终坏账数字。4月25日，Arkham Intelligence确认DeFi United已筹集1.6亿美元。主要贡献者包括：
- Mantle：提议提供最多3万枚ETH（作为三年期信贷额度，利率为Lido质押收益+1%）；
- Aave DAO：提议从财库中拨付2.5万枚ETH（治理投票中）；
- Stani Kulechov（Aave创始人兼CEO）个人承诺5000枚ETH；
- Ether.fi：承诺5000枚ETH；
- Lido DAO：提供最多2500枚stETH；
- Golem Foundation：1000枚ETH；
- Emilio Frangella（Aave VP）：500枚ETH；
- 社区链上捐款超过272枚ETH；
- Ethena、Layerzero、Ink Foundation、Frax、Tydro等也提供了支持。
此外，Arbitrum安全委员会冻结了部分攻击者资金，进一步缩小了基金需覆盖的净缺口。Kelp DAO团队成功回滚并回收了后续第二个恶意数据包（涉及4万枚rsETH）。
当前进展与市场影响
DeFi United被参与者描述为DeFi历史上最大规模的协调救援努力之一。Aave DAO的2.5万ETH捐款治理投票仍在进行中，基金继续接受捐款。协议正努力恢复rsETH的完全抵押并清除剩余坏账。此次事件再次凸显了跨链桥单点验证的脆弱性，以及DeFi生态在面对系统性风险时的集体协作能力。分析师指出，尽管1.6亿美元的募资暂时稳定了市场信心，但Aave的长期信誉受损和监管审查压力可能持续存在。