今年规模最大的加密货币劫案
2026年4月18日，攻击者从基于以太坊网络构建的去中心化金融协议 KelpDAO 窃取了价值约2.9亿美元的加密货币，成为今年规模最大的数字资产盗窃案。身处事件风波中心的跨链基础设施提供商 LayerZero Labs 将攻击归咎于朝鲜 Lazarus Group 内部的专业部门 TraderTraitor，并称初步技术迹象表明，这是一起高度复杂的国家支持行动。此次劫案发生在同一批威胁行为者涉嫌从 Drift Protocol 窃取2.85亿美元的数周后。仅今年4月，朝鲜黑客窃取的资金总额就超过了5.75亿美元。
攻击目标是 rsETH，这是一种由 KelpDAO 发行的流动性质押再质押代币，代表着已质押的以太坊，可赚取收益，同时仍可用于其他去中心化应用。窃贼利用跨链验证流程中的漏洞，盗走了116,500枚 rsETH，价值约2.93亿美元，随后通过 Tornado Cash（一种旨在掩盖交易轨迹的加密货币混币服务）洗白了部分资金。联合国一个专家小组此前估计，自2017年以来，朝鲜已窃取超过30亿美元的加密货币，并利用这些非法所得资助核武器开发计划。
这起事件不仅是孤立的犯罪活动。安全分析人士认为，这表明平壤针对去中心化金融生态系统的行动正在加速，也暴露出跨链桥和验证机制运作方式中的根本漏洞。此次盗窃震动了加密货币行业，促使借贷巨头 Aave 冻结市场，并引发受影响协议数十亿美元的资金提现。
跨链攻击的运作方式
KelpDAO 是一个流动性质押再质押协议，用户存入以太坊后可获得 rsETH 代币作为回报。这些衍生代币代表底层质押资产，同时通过以太坊上的再质押基础设施 EigenLayer 继续赚取奖励。借助 LayerZero 等互操作层，rsETH 可以在不同区块链网络之间流转，灵活性因此提高，但潜在攻击面也随之扩大。正是这种跨链功能，成为今年已知最大加密货币攻击的突破口。
攻击者瞄准了去中心化验证者网络（DVN），该网络负责验证不同区块链之间的消息。他们没有利用 KelpDAO 智能合约代码本身的漏洞，而是操纵了支撑验证操作的基础设施。他们攻陷了特定的远程过程调用（RPC）节点。这些节点充当通信端点，使应用能够读取区块链数据；攻击者随后向验证层注入伪造数据。
为扩大攻击效果，威胁行为者还同时对合法 RPC 节点发动了分布式拒绝服务（DDoS）攻击。这轮攻击削弱了可信数据源的可用性，迫使系统依赖那些提供虚假信息的已遭攻陷节点。实质上，攻击者污染了验证流程，使伪造的跨链消息被当作合法消息接受，尽管底层交易从未在区块链上实际发生。
一个关键漏洞让这种欺骗得以奏效。KelpDAO 的跨链操作采用单 DVN 配置，也就是说，只有一个验证者检查消息有效性，而不是要求多个独立验证者达成共识。LayerZero 表示，这种设置造成了单点故障，使伪造消息未经额外验证便通过。攻击者使用了专门设计的自定义载荷，向 DVN 伪造消息且只触发极少警告，从而将 rsETH 代币非法转入其控制的钱包。
LayerZero 与 KelpDAO 互相指责
劫案发生后，LayerZero 与 KelpDAO 就安全漏洞的责任归属公开争论。LayerZero 坚称，事件完全源于 KelpDAO 选择采用单验证者配置，尽管 LayerZero 曾建议其部署多个独立 DVN。该公司强调，此前已向 KelpDAO 介绍 DVN 多元化的最佳实践；若采用经过充分强化、要求多个验证者达成共识的配置，此次攻击就不会得逞。
LayerZero 发布了详细的技术事后分析，解释 RPC 欺骗攻击手法，并称使用不同配置的其他跨链资产或应用均未受到波及。该公司宣布，将停止为采用单验证者设置的应用签署消息，以防止类似事件再次发生。LayerZero 将具体威胁行为者指认为 TraderTraitor，这是 Lazarus Group 内一个以攻击加密货币平台著称的分支组织。
KelpDAO 对这一说法提出异议，称自2024年1月起便一直使用 LayerZero 的基础设施，并与 LayerZero 团队保持公开沟通。KelpDAO 表示，在扩展至 Layer 2 期间，双方曾讨论 DVN 配置问题，当时 LayerZero 明确确认默认设置是合适的。该协议认为，LayerZero 的默认设置促成了这一脆弱配置，并质疑用户是否应对被作为标准选项提供的安全参数承担全部责任。
采用存在单点故障的配置，意味着没有独立验证者能够发现并拒绝伪造消息。LayerZero 和其他外部机构此前曾向 KelpDAO 介绍 DVN 多元化的最佳实践。尽管有这些建议，KelpDAO 仍选择使用 1/1 DVN 配置。
安全专家也对此展开讨论，指出如果安全性取决于用户阅读文档并手动选择更安全的选项，那么这反映出去中心化系统存在根本性的设计缺陷。区块链安全公司 SVRN 首席运营官 David Schwed 指出，如果某种配置被认定为不安全，就不应将其作为可用选项提供。这也体现了 Web3 生态系统中更广泛的矛盾：去中心化理念与实际采用安全默认设置之间的张力。
对去中心化金融的连锁冲击
盗窃的影响远远超出了 KelpDAO 本身，凸显出现代去中心化金融协议之间的高度互联。由于 rsETH 是多个借贷平台接受的抵押品，此次攻击在数小时内便引发了波及整个生态系统的系统性风险。规模最大的去中心化借贷协议之一 Aave 的总锁仓价值骤降近80亿美元，投资者纷纷撤出资产。为防止风险进一步扩大，该协议冻结了以太坊、Arbitrum、Base、Mantle 和 Linea 上的 rsETH 市场。
攻击者展示了复杂的金融操作手法：他们将窃取的 rsETH 存入 Aave v3 作为抵押品，并借出 Wrapped Ether，在平台上形成约1.95亿美元债务。用户为避免潜在损失纷纷提现，导致 Aave v3 借贷池使用率达到100%，超过51亿美元的稳定币暂时无法提取。Compound 和 Euler 协议也报告受到此次事件影响，但均采取了紧急措施限制风险扩散。
Cardano 创始人 Charles Hoskinson 在一场直播中分析了此次攻击，并区分了最初的盗窃与之后经由借贷市场扩散的连锁影响。他指出，新意不在于伪造跨链桥本身，而在于攻击者如何将窃取的 rsETH 作为抵押品借出流动资产，从而把简单盗窃转变为至少九个协议的资产负债表危机。这种二次攻击手法将受污染的抵押品变成了攻击更广泛 DeFi 生态系统的工具。
市场对这一消息反应剧烈。事发后的24小时内，rsETH 代币价格在1,600美元至2,500美元之间大幅波动，流动性提供者纷纷撤出支持。事件发生后的48小时内，DeFi 总锁仓价值下跌约130亿美元。Arbitrum 安全委员会设法冻结了约30,766枚 ETH，价值7,100万美元，约占被盗资金的四分之一；但大部分资金仍在攻击者控制之下。
Lazarus Group 与国家支持的盗窃行动
将此次攻击归因于朝鲜 Lazarus Group，符合该组织长期以来通过国家支持的加密货币盗窃规避国际制裁并资助武器项目的模式。此次攻击中被指认的具体分支 TraderTraitor 近年来与多起重大劫案有关，其中包括2026年早些时候从 Bybit 窃取15亿美元的事件，那是加密货币史上规模最大的劫案。联合国监督人员记录了平壤如何将这些非法所得直接用于核武器和弹道导弹开发。
安全研究人员指出，朝鲜的网络行动已从针对交易所的机会主义攻击，演变为复杂且有耐心的入侵行动，目标直指去中心化金融的基础设施。ENS Labs 首席信息安全官 Alexander Urbelis 将这些事件描述为持续不断的行动，而非孤立事件。他强调，Lazarus 这类组织并非只是带着更多财富离开，而是变得更强：他们利用窃取的资源扩展工具、改进技术，并将资金再投入未来行动。
这些环境面对的并非打了就跑的攻击者，而是有纪律、懂得如何串联基础设施、应用和信任关系中的薄弱环节的对手，他们正持续施压。
这次攻击手法揭示了 Lazarus 目标选择策略的演变。该组织不再利用智能合约漏洞或窃取私钥，而是开始将重点放在跨链和再质押基础设施，也就是连接不同区块链网络的底层机制上。这些层面技术复杂、往往承载大量资产，而且通常比表层应用更难监控。攻击者通过破坏验证基础设施而非应用逻辑，显示出他们深入了解去中心化系统如何建立信任并验证信息。
Nine Blocks Capital Management 联合创始人 Henri Arslanian 对归因结论表示确信。他说，全球没有其他组织具备实施这类攻击所需的专业能力和实力，并指出 KelpDAO 攻击所展现的技术复杂程度和行动安全水平，只有国家级行动者才能做到。攻击者使用 Tornado Cash 洗钱，同时采用多阶段攻击，结合基础设施入侵与社会工程手段，也支持这一判断。
谈判尝试与安全教训
在一次不同寻常的行动中，亿万富翁、Tron Network 创始人 Justin Sun 公开恳求黑客归还被盗资金。Sun 在社交媒体上表示愿意与攻击者直接谈判，询问对方想要多少，同时称牺牲 Aave 和 KelpDAO 完全不值得。他的介入凸显了此次攻击造成的系统性风险有多严重，尤其是与 Sun 旗下交易所 HTX 关联的地址曾向 Aave 账户转入数亿美元。
Kelp DAO 的黑客，你想要多少？我们谈谈。当然，也要有 Kelp DAO 参与。这根本不值得让 Aave 和 Kelp DAO 都因此遭殃。反正你也花不掉3亿美元。
这一事件在区块链安全社区引发了关于去中心化与安全如何平衡的激烈讨论。Charles Hoskinson 认为，问题出在验证逻辑而非应用逻辑，并指出如果采用三取五验证者配置，而不是一取一配置，就能阻止伪造行为。这一批评也延伸至更广泛的以太坊生态系统，因为复杂的跨链交互会产生依赖关系，可能放大单点故障的影响。
安全专业人士主张采用零信任架构，假设系统可能遭到入侵，并在复杂环境中执行严格验证。建议采取的缓解措施包括加固 RPC 端点、实施多方共识机制、部署强大的 DDoS 防护，以及引入在检测到异常时自动暂停交易的断路器机制。KelpDAO 攻击表明，在去中心化金融中，整条链的强度取决于每个环节的防护；一旦某个环节失守，后果便会迅速蔓延。
对刚进入 DeFi 领域的人来说，这起劫案鲜明地提醒人们：去中心化并非非此即彼的属性，而是一系列关于信任与验证的选择。随着朝鲜的网络行动不断演变和扩大，整个行业面临越来越大的压力，必须将安全设为默认选项，而不是仅仅作为建议，确保最安全的方案最容易使用，而不是藏在技术文档深处。
要点一览
- 朝鲜 Lazarus Group，具体而言是其分支 TraderTraitor，涉嫌于2026年4月18日从 KelpDAO 窃取价值约2.9亿美元的 rsETH 代币
- 此次攻击利用 KelZero 跨链基础设施中的单验证者配置漏洞，使黑客得以伪造验证消息并盗走资金
- 攻击者攻陷 RPC 节点并发动 DDoS 攻击，迫使系统依赖遭污染的数据源
- 此次劫案在 DeFi 领域引发系统性风险扩散，迫使 Aave 冻结市场，并导致借贷协议遭遇80亿美元提现
- LayerZero 与 KelpDAO 公开争论责任归属：LayerZero 指责配置选择不安全，KelpDAO 则称自己遵循了默认设置
- 这是2026年4月朝鲜实施的第二起重大加密货币盗窃案，此前该国黑客从 Drift Protocol 窃取了2.85亿美元
- Arbitrum 安全委员会已冻结被盗资金中的约7,100万美元，其余大部分资金已通过 Tornado Cash 洗白
- 联合国专家小组估计，朝鲜自2017年以来已窃取超过30亿美元的加密货币，用于资助核武器开发
