• ZachXBT 在2026年4月18日标记了 Ethereum 和 Arbitrum DeFi 协议中的超过 2.8 亿美元的盗窃。
• KelpDAO 的 rsETH 铸造缺陷在 Aave V3 上产生了坏账，AAVE 代币下降了大约 10-13%。
• KelpDAO 尚未确认该漏洞；分析师正在监控六个识别出的攻击者钱包以获取恢复线索。

链上调查员 ZachXBT 在美国东部时间下午三点前不久在他的公共 Telegram 频道上发布了初步警报，列出了与盗窃相关的六个钱包地址，并指出攻击者钱包是在提款开始之前通过 Tornado Cash 资助的。他的帖子提到多个 DeFi 协议中的损失超过 2.8 亿美元，但并没有直接提到 KelpDAO，但链上分析师在几小时内就连接了这些地址。

此次攻击遵循了一个老故事。报告显示，攻击者似乎利用了 rsETH 的铸造逻辑中的缺陷，未提供适当的抵押品就创建了大量的流动再质押代币。然后，这些通胀的 rsETH 被存入 Ethereum 和 Arbitrum 上的 Aave V3 借贷市场，攻击者以此借入了大量 ETH 和其他资产。

一旦抵押品被认为毫无价值，这些头寸就使 Aave 面临坏账。社区对总损失的估计在 1 亿美元到大约 2.93 亿美元之间，相当于当前价格约 116,500 ETH。

AAVE 在消息发布后大幅下跌。市场数据显示，在初步警报后几个小时内，下降幅度在 10% 到 13% 之间，因为市场权衡了协议借贷池中潜在的坏账风险。

像 rsETH 这样的流动再质押代币深植于 DeFi 的可组合性中。它们被同时接受作为多个借贷市场的抵押品，这意味着铸造漏洞可以迅速在平台之间传播损失。KelpDAO 事件直接说明了这一风险。

ZachXBT 列出的攻击者钱包显示在 Aave 和 Compound 上持有大量 ETH 头寸。报道显示，仅一个地址在检测时在 Aave 上持有大约 1.2 亿美元的 ETH。资金在提款后迅速被转移。

在攻击之前使用 Tornado Cash 预先资助运营钱包是攻击者试图掩盖来源的标准战术。这并不表示一种新技术，但确认了该操作是故意和计划好的。

截至2026年4月18日下午三点，KelpDAO 尚未发布官方声明或事后分析。社区正在关注该项目的 X 账号和网站的回应，以及 Aave 的治理频道以获取任何紧急行动的消息。

DeFi 安全公司，包括 Peckshield、Slowmist 和其他公司，在撰写时尚未发布详细的分解，反映出情况发展得多么迅速。ZachXBT 在公共频道中尚未发布特别提及 KelpDAO 的后续消息，但地址重叠划出了明显的界线。

这一事件与 2026年4月1日 Bitcoin.com News 首次报道的 Drift Protocol 漏洞无关，该漏洞涉及大约 2.8 亿美元的资金主要在 Solana 上被盗取，随后 USDC 通过 CCTP 桥接到 Ethereum。机制、链和时间线均不同。

持有 Aave、Compound 或其他借贷市场上 rsETH 或相关头寸的任何人都被社区成员建议在情况仍未解决时审查其风险敞口。

ZachXBT 识别的六个攻击者钱包仍然是链上追踪的活跃目标，分析师正在努力绘制这些资金在离开 Aave 后的流动情况。除了像 ZachXBT 这样的链上分析师外，Bitcoin.com News 是第一家报道此事件的加密出版物。情况仍在发展中。

免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。