KelpDAO 上月发生的2.93 亿美元事件，把 DeFi 的风险图谱又往外推了一层。问题并不只在智能合约本身。更大的隐患，正在桥接基础设施、治理机制、运维安全以及第三方依赖组成的复杂外层系统里。
Lido Labs Foundation 首席技术负责人 Eugene Mamin 对 CoinDesk 表示，许多案例中的合约其实都按作者设定执行了，只是当时发出指令的人，并不是合法控制者。这句话点出了一个变化：DeFi 眼下最棘手的薄弱点，越来越少是代码 bug，越来越多是围绕代码运转的人与基础设施。
LayerZero 桥接链路把共享风险放大
这起 KelpDAO 事件被指与 LayerZero 的桥接基础设施漏洞有关。其影响并没有停留在单一点位，而是沿着上层协议的依赖关系继续扩散。对依赖共享基础设施的 DeFi 项目来说，这类风险最麻烦的地方在于，它往往不是孤立故障。
Mamin 说，复用别人的基础设施，就等于同时继承对方的威胁模型。Phoenix Labs 首席执行官 Sam MacPherson 也指出，若太多市场参与者依赖同一套基础设施，故障就会从单点问题演变成连锁冲击，集中度会在不知不觉中变成系统性风险。
业内判断：合约风险不是主战场了
在 DeFi 早期，攻击通常来自智能合约缺陷，比如重入漏洞、预言机操纵或逻辑错误。现在，行业讨论的重点明显变了。MacPherson 直言，智能合约风险在很大程度上已经是“被解决的问题”，近期许多黑客事件更多出自糟糕的运维安全。
这并不意味着合约已经完美无缺。只是审计工具、形式化验证、漏洞赏金计划以及 AI 辅助代码审查，已经让底层合约比 DeFi 快速扩张时期稳固得多。真正变复杂的，是 DeFi 自身的结构：协议依赖桥，桥依赖验证者和消息系统，治理又依赖多签、云基础设施、SaaS 服务商以及跨司法辖区团队。
每加一层，故障点就多一个。问题很直接。
“无聊”正在变成DeFi的卖点
KelpDAO 事件出现之际，市场对高风险实验的容忍度也在下降。Mamin 认为，真正承接大额资金信任的协议，往往是那些多年以同样方式、稳定运行的系统，“无聊”本身就是一种特性。
过去，DeFi 常把更高增长、更强杠杆和更高收益当成竞争力，复杂性也常被当作创新。经历多年攻击、清算和连锁故障后，用户似乎正转向另一类产品：更可预测的结构，更保守的设计。MacPherson 表示，市场开始奖励强调韧性而非单纯追求上行空间的系统。按他的说法，Spark 近期存款增长，部分原因正是用户在轮换到更保守的借贷市场和���简单的抵押品结构。
攻击面又回到了传统网络安全问题
这起事件还带出另一个信号：DeFi 最危险的一些攻击路径，现在越来越像传统网络安全事件。Mamin 提到，个人笔记本电脑、SaaS 平台、密钥管理系统以及软件供应链中的漏洞，仍是行业尚未解决的重要风险。
在他看来，攻击面并没有缩小，只是重新转回 Web2 的根部。对 DeFi 而言，这意味着安全工作不再只是审合约、查代码，还要面对跨系统、跨团队、跨供应商的现实风险。