Kelp DAO rsETH 桥遭利用，损失约2.92亿美元

Kelp DAO 的 rsETH 桥在 2026-04-18 遭遇严重安全事件，链上监测和报道将约 2.92 亿美元的损失归因于基于 LayerZero 的利用。根据 The Block 的报道，协议的紧急暂停多签在首次资金外流后约 46 分钟冻结了核心合约，阻止了至少两次后续挪用资金的尝试（The Block，2026-04-18）。此次窃取的速度和规模使该事件成为过去四年中较大的跨链桥失陷事件之一，也再次引发了关于可组合跨链消息层所带来安全权衡的讨论。与桥接合成资产（如 rsETH）交互的机构对手方、托管方和交易对手应当评估在像 LayerZero 这样的消息传递结构与有权限的合约治理相结合时产生的运营与对手方敞口。

背景

Kelp DAO 推出了 rsETH 作为质押以太坊的包装或合成表示，用于跨链使用，并依赖 LayerZero 的跨链消息传递来协调状态和赎回。根据 The Block 于 2026-04-18 的报道，该消息路径在本次利用中被用来授权提现，从而从桥中抽走约 2.92 亿美元。桥和跨链包装长期以来反复成为大额损失的来源：Ronin 在 2022 年 3 月被攻破，损失约 6.25 亿美元；Wormhole 在 2022 年 2 月的利用造成约 3.2 亿美元的损失（Chainalysis；行业报道）。相比之下，Kelp 事件的 2.92 亿美元在这些历史事件中虽属重大但并非前所未有。

该协议的治理响应在 Web3 标准下属快速：紧急暂停多签在首次外流被观察到后约 46 分钟执行了核心合约冻结。这个 46 分钟的窗口既足够成熟的攻击者提取资金，也足以阻止随后的进一步操作——据报道，Kelp 团队成功阻止了两次额外的转移尝试。链上透明性使调查人员和交易所可以追踪资金流向，但多面向的追偿较为缓慢：资金被转移至多个地址，并可能进入混币器或中转链。The Block 的报告提供了时间戳和估算损失；链上调查人员仍在核对代币计价和具体路径。

LayerZero 的工具因能降低消息传递摩擦而被跨链应用迅速采用；然而，更广泛的采用在消息层被滥用或配置错误时会增加系统性风险。与桥接资产互动的机构参与者应当审慎审查智能合约经济设计与跨链消息传递的假设。欲了解关于桥架构与系统性敞口的更深背景，请参阅我们的入门指南：入门指南。

数据深度解析

从量化角度看，The Block 的头条数字——约 2.92 亿美元——是事件的核心锚点。攻击时间（2026-04-18）已在公开报道和链上时间戳中得到核实；据同一报道，紧急冻结发生在初次资金移动后大约 46 分钟（The Block，2026-04-18）。历史对比提供了视角：Ronin（2022 年 3 月）损失 6.25 亿美元；Wormhole（2022 年 2 月）约损失 3.2 亿美元——这些都是跨链风险的基准事件（行业取证报告）。这些对比显示 Kelp 的损失约为 Ronin 的 47%、Wormhole 的约 91%，将该事件定位为重大但非创纪录的失陷事件。

独立分析师与聚合仪表板公布的链上交易追踪显示，初始 10–15 分钟内出现多笔外发转账，随后出现中断，并有被阻止的尝试。46 分钟的间隔既创造了遏制窗口，也给追偿带来挑战；例如，攻击者有更多时间对资金流进行分层和混淆，则中心化交易所在及时冻结入账方面的概率下降。随着调查人员解析代币流向，本次事件中原生 ETH、包装 ETH 衍生品与其他 ERC‑20 持仓之间的分布，对估算可回收价值和保险适用性至关重要。

事件发生后市场反应可测：与合成 ETH 敞口相关的衍生品市场发生了清算，主要加密衍生品平台的隐含波动率在数小时内上升了数个百分点，交易台也报告对跨链铸造产品收紧了风险限额。尽管相较于早期桥攻事件对现货 ETH 的价格影响较小——部分原因在于 Kelp 的 rsETH 为协议特定工具，而非现货市场的主要流动来源——该事件仍抬升了发行桥接合成品的对手方风险溢价。

行业影响

从行业视角看，Kelp 事件凸显了加密经济体中高度可组合的无权限堆栈与更保守的有权限通道之间的二分。桥及跨链消息基础设施仍是去中心化应用的增长方向；但价值在消息原语的聚合会增加系统性脆弱性。评估跨链衍生品敞口的机构应将像 LayerZero 这样的消息层视为第三方基础设施，并对其进行与托管方和交易执行场所同等的对手方尽职调查。

保险市场和托管服务将密切关注此次利用引发的理赔，以重新校准保单条款与除外事项。历史上，重大桥攻击后，保险方对跨链敞口提高了保费并缩窄了覆盖范围（2022 年多起攻击后的市场做法）。再保险能力以及关于控制证明和惩罚机制的条件性将影响保单如何演变；因此机构应当与承保团队开展 co