KelpDAO跨链桥攻击事件持续发酵。4月18日，攻击者通过伪造跨链消息，从KelpDAO相关以太坊托管合约中转出116,500枚再质押ETH，按报道估算约合2.92亿美元。Cardano创始人Charles Hoskinson将其称为今年规模最大的DeFi攻击之一，并指出这起事件在48小时内引发了更广泛的市场连锁反应。
跨链验证薄弱成为核心风险
根据披露信息，攻击者提交了一条伪造的Layerzero消息，并通过与Kelp再质押适配器相连的endpoint v2合约完成提款。问题关键在于，Kelp的跨链配置依赖单一去中心化验证网络（one-of-one DVN），形成明显的单点失效风险。Hoskinson表示，DeFi过去普遍将智能合约漏洞视为主要威胁，但此次事件显示，桥接验证失效正成为更突出的攻击入口。
被盗资产并未直接在DEX抛售，而是被存入Aave等借贷协议作为抵押品，再借出流动性更强的包装ETH资产，从而实现“脱钩式”套现。这使得风险并未停留在KelpDAO内部，而是蔓延至借贷市场，形成所谓的“污染抵押品”。
DeFi生态48小时内出现大规模撤资
Llamarisk于4月20日发布的联合事故报告称，约有83,471枚ETH等值资产分布在7个攻击者钱包中，涉及Ethereum主网和Arbitrum。报告提出两种处置路径：其一是在全部再质押ETH持有者之间分摊15.12%减记，形成约1.23亿美元坏账；其二是将损失隔离在L2层面，使相关代币重定价至26.46%支撑率，并产生约2.3亿美元坏账，主要集中于Mantle、Arbitrum和Base。
受事件冲击，Aave的资金外流规模据称达到66亿至84.5亿美元。Arbitrum、Base、Mantle、Linia和Plasma上的包装ETH池利用率一度接近100%，提款几乎受阻。除Aave外，Compound、Morpho、Lido、Ethena、Pendle、Euler、Beefy与Lombard Finance等至少9个协议被列为直接受影响对象。整体来看，事件在48小时内触发了超过130亿美元的DeFi总锁仓价值流出。
责任归属仍存争议，Layerzero推动迁移
目前，KelpDAO、Layerzero与Llamarisk均已发布事后分析，但三方对责任认定并未达成一致。Layerzero于4月20日宣布，将不再为采用one-of-one DVN配置的应用签名或证明消息，并推动协议范围内向多验证者架构迁移。Kelp则表示，Layerzero默认配置在Ethereum、BNB Chain、Polygon、Arbitrum和Optimism等网络上采用了单源验证，并称目前约有40%至50%的Layerzero OFT应用仍使用类似配置。
链上取证还显示，攻击可能与朝鲜相关黑客组织Lazarus Group存在联系，但截至目前，尚无独立司法取证机构给出正式归因，美国联邦调查局也未公开表态。
Hoskinson借机强调Cardano与Midnight方案
Hoskinson认为，此次事故说明，单靠事后应急已难以追上攻击者利用借贷协议转移风险的速度。根据他的说法，从首次资产流出到Kelp启动紧急暂停仅有46分钟，但这不足以阻止风险扩散。他将Cardano的相对低暴露度归因于其流动性、非托管质押设计，认为这避免了“质押—流动性质押—再质押”多层封装所带来的攻击面。
他进一步指出，Cardano隐私侧链Midnight可通过零知识证明和多方计算来降低此类跨链风险。其中，Nightstream协议可将整条链状态折叠为证明，并伴随跨链消息一同传输，从而在消息被接受前完成可验证性检查；而多方计算则有助于部署2/3或5/7等更稳健的多验证者配置，减少单点失效。
Hoskinson最后警告称，随着AI工具被攻击者用于扫描大型代码库、识别复杂漏洞，未来此类攻击或将更加频繁和复杂。对整个DeFi行业而言，KelpDAO事件的警示已不只是桥接安全本身，更在于跨协议传染和信心危机可能如何迅速放大单点漏洞的破坏力。