#Aave #rsETH #RiskManagement #加密安全

安全——Aave危机是否已受控？
行业范围的应对措施，以及它对DeFi风险的意义

2026年4月18日，流动性再质押协议Kelp DAO遭遇了今年最大的一次DeFi漏洞。攻击者利用Kelp的LayerZero驱动的桥梁中的漏洞，铸造了大约116,500个rsETH，价值约$200M 百万美元，而没有存入任何基础ETH。这些未背书的代币随后作为抵押在Aave V3上借出了大约$292 百万美元的WETH和wstETH。

结果：根据各链之间的损失分配，估计有$236 百万到$124 百万的坏账在Aave上积压。在48小时内，超过$230 十亿的存款离开了Aave。总锁仓价值从264亿美元降至179亿美元。DeFi整体的TVL下降超过$9 十亿。

1. 发生了什么以及为什么Aave会受到冲击
此次攻击并未破坏Aave的智能合约。风险来自被接受为抵押的流动性再质押代币rsETH。一旦桥被清空，rsETH失去了其背书。其价格崩溃，使得健康的贷款变成了无法清算的“水下”仓位。Aave的协议守护者冻结了rsETH、wrsETH和WETH市场，并将贷款价值比设为零。

WETH的利用率飙升至100%。用户无法提取。ETH、USDT和USDC的借贷利率跃升至8%和14%。协议没有被黑，但它吸收了外部资产带来的系统性风险。

2. 应对措施：DeFi团结一致
行业反应迅速。成立了名为“DeFi United”的协调救援行动，以恢复rsETH的背书。迄今为止的主要贡献包括：
• Aave DAO：提议从其金库中拨出25,000 ETH，价值大约$13 百万美元。创始人Stani Kulechov个人承诺捐出5,000 ETH。
• Mantle：提议提供最高30,000 ETH的信贷额度，以帮助Aave吸收剩余的坏账。
• EtherFi基金会：5,000 ETH。
• Lido DAO：最多2,500个stETH。
• Golem基金会：1,000 ETH。
• Arbitrum安全理事会：冻结并转移了30,700 ETH，追踪到攻击者，目前正通过治理提案决定是否将其释放到救援基金中。
包括个人和协议的承诺，基金总额约为69,534 ETH，或大约$58 百万美元。结合被冻结的Arbitrum ETH，分析师估计如果所有提案通过，短缺部分可以完全弥补。

Kelp DAO本身报告已回收73,700 ETH，但截至上周末，仍有大约89,500 ETH的缺口。

3. 协议是否具有韧性？三个信号

控制速度：Aave在漏洞发生后一小时内暂停了市场，阻止了额外的借款。攻击路径在协议之外，但风险控制措施迅速启动。

资金库容量：Aave的DAO资金库持有$161 百万美元，包括$181 百万美元的ETH相关资产。25,000 ETH的提案是DeFi历史上最大规模的由资金库支持的事件响应之一。事件发生前，Umbrella安全模块持有大约$62 百万美元。

跨协议协调：这是首次多个DAO、L2和基础设施提供商共同出资，支持单一协议的坏账。这一先例意义重大：它显示治理可以在压力下大规模调配资金。

4. 信任尚未完全恢复
数字显示已有进展，但信心需要更长时间恢复。Aave的质押余额在三天内下降了33%，从$50 十亿降至$45 十亿。自年初以来，DeFi的总TVL下降了超过27%。分析师指出，反复发生的漏洞正在影响机构投资者的兴趣。

此次漏洞还暴露了结构性风险：桥梁仍是最薄弱的环节。攻击利用了LayerZero上的1对1 DVN配置，其中单一被攻破的验证者可以签署虚假消息。没有密钥被盗，也没有智能合约漏洞，只有基础设施的破坏。

5. 为什么风险管理仍然重要
• 抵押品标准：依赖单点桥梁的资产会带来系统性暴露。协议现在正在重新评估哪些桥接代币可以作为抵押品。
• DVN去中心化：LayerZero等正在向多验证者设置转变。Flare在事件后将验证者从两个扩展到四个。
• 坏账缓冲：Aave的治理正在测试资金库和安全模块是否能在不分担损失的情况下应对极端事件。关于25,000 ETH支出的投票是当前的关键变量。

Aave已通过回收资金、DAO贡献和生态系统承诺，覆盖或准备覆盖大约80%的漏洞。协议的核心合约未被攻破，紧急响应也防止了更大规模的连锁反应。

这展示了强大的协议应对能力和在压力下的真正韧性。但这次事件也提醒我们：在DeFi中，风险并未被消除，而是被转化。桥梁、预言机和流动性再质押代币成为新的信任层。管理它们已成为关键基础设施。

信任尚未完全破碎，但也未完全恢复。Aave如何最终处理坏账，rsETH如何重新获得背书，以及治理如何更新抵押政策，将决定这是否成为复苏的典范，或是复杂性警示。