Kelp DAO 的 rsETH 跨链桥疑似遭利用，链上追踪显示，约 116,500 枚 rsETH 被转出，按文中口径估值约 2.92 亿美元。事件很快从单一项目安全事故，扩散为一场涉及借贷、再质押和交易平台的 DeFi 连锁冲击���
Kelp DAO 表示，在发现异常后约 46 分钟 暂停了核心合约，并称已拦截后续尝试，目前正与 LayerZero 和 Unichain 一同调查。已披露信息显示，问题指向 rsETH 跨链消息路径的信任配置，而不是已确认的 LayerZero 全局漏洞。
私钥与验证节点配置成调查重点
早期分析认为，事故可能与应用层消息验证路径失效有关。安全评论提到，相关设置可能采用了 1-of-1 DVN，而不是更稳妥的 2-of-2 默认方案。若单一签名方被攻破，就会形成明显的单点失效风险。
多份分析还把根因指向源链私钥泄露或被盗。研究人员称，一个被信任并标记为 Kelp DAO 的节点，可能发出了触发 lzReceive 调用的消息，随后将这 116,500 枚 rsETH 从托管中释放出去。也正因如此，调查重点不只在桥接代码本身，还落在私钥安全和节点信任模型上。
Aave未被黑，却成了承压中心
Aave 并非被攻击对象，但成了这场风波中的���要压力点。根据素材，攻击者在 2026 年 4 月 18 日 的 Kelp DAO 桥接事件后，将相关资产作为抵押品在 Aave 上借出大额 ETH。随后，Aave 在 V3 以及自 18:52 UTC 起的 V4 上冻结了 rsETH 市场，并冻结了受影响市场中的 WETH 储备，涉及 Ethereum、Arbitrum、Base、Mantle 和 Linea。
Stani Kulechov 表示，Aave 的借款能力损失来自 Aave 之外的漏洞。其分析称，以太坊主网上的 rsETH 仍然是足额支撑状态，但作为防护措施，rsETH 以及部分 WETH 储备仍被冻结。报道还提到，Aave Token 出现了超过 54 亿美元 的资金流出。
虽然以太坊主网头寸仍被描述为足额支撑，用户仍快速提走资金，导致利用率上升、DeFi 流动性收紧。若抵押品无法覆盖已借出的 ETH，Aave 就会形成坏账。当前多份报告把这部分风险敞口放在 1.77 亿至 2 亿美元，但 Aave DAO 最终实际承担的损失，素材中并未给出定论。
Lido Earn、Morpho与交易平台同步应对
这次冲击没有停留在 Aave。Lido Earn 因 rsETH 敞口暂停了 earnETH 存款；Kamino 将部分与 LayerZero 相关的资产切换为仅可提现和还款模式；Morpho 暂停了其在 Arbitrum 上的 OFT 桥。交易平台方面，Upbit 和 Bithumb 也向 KernelDAO 持有者提示波动风险。
Curve 创始人 Michael Egorov 借此警示，非隔离借贷池的设计存在额外风险。围绕风险隔离与损失分摊的讨论，已被推到 DeFi 风控结构的中心。素材提到，如果损失主要集中在 Layer 2 市场，相关链面临的压力可能更大；若损失被更广泛分担，传染风险可能下降，但治理层面的成本会提高。
市场接下来盯住赔付分配与治理决策
就 rsETH 而言，Kelp DAO 下一步的核心问题是损失如何分配。素材称，以太坊主网的 rsETH 仍有支撑，这可能减轻核心市场的直接冲击。但市场冻结、桥接暂停和交易平台风险提示已经说明，跨链环节一旦失效，会迅速传导到 DeFi 的借贷与流动性层。接下来，修复方案、保险兜底安排以及治理投票结果，将是市场持续观察的焦点。