这个周末发生的约2.92亿美元攻击让加密行业感到震动，暴露出去中心化金融（DeFi）基础设施的脆弱性，并引发对借贷协议连锁反应的担忧。

虽然调查仍在进行中，初步分析表明此次攻击集中在Kelp的rsETH代币——一个收益型的以太币（ETH）版本——以及用于在区块链之间转移资产的机制上。

攻击者似乎操纵了该系统，创造了大量没有适当支持的代币，然后迅速将其用作抵押品，从借贷市场中借款并提取真实资产，主要来源于AaveAAVE$89.35，这是最大的去中心化加密贷方。

这一事件是对DeFi的最新打击，仅在发生$2.85亿攻击的Solana基础协议Drift几周后，进一步削弱了投资者对这个近900亿美元加密领域的信任。

攻击是如何进行的

从高层来看，这次攻击针对的是LayerZero桥接组件——一个允许资产在不同区块链之间移动的基础设施，Ledger硬件钱包制造商的首席技术官Charles Guillemet在一份说明中告诉CoinDesk。

桥接通常通过在一条链上锁定资产并在另一条链上铸造等值代币来工作。该过程依赖于一个可信的实体——通常称为预言机或验证者——来确认存款。

在这种情况下，Kelp实际上充当了该验证者。根据Guillemet的说法，该系统依赖于单签名设置，意味着只有一个实体可以批准任何交易。

“看起来攻击者能够签署一条信息……允许他铸造大量的rsETH，”他说。他补充道，目前尚不清楚如何获得这种访问权限。

Curve Finance的创始人Michael Egorov指出系统配置中的同样一些薄弱点。

“当你信任单一一方时，事情可能会发生——无论那是谁。”

这种设置允许攻击者有效地创建没有支持的代币，即使没有相应的资产在源链上被锁定。

一旦铸造，代币迅速被部署。攻击者“立即将它们存入借贷协议，主要是Aave，以借入真实的ETH，”Guillemet解释道。

这一举动将问题从单一攻击转变为更广泛的市场问题。DeFi借贷平台现在面临持有可能难以解除的抵押品的风险，而有价值和流动的资产已经被提取。

“Aave被留下的rsETH实际上无法出售以及最大借贷的[sic]ETH，所以没有人能够提取ETH，”Curve的Egorov说。

因此，Aave和其他借贷协议可能面临数亿美元的可疑抵押品和坏账，他警告称，这引发了潜在“银行挤兑”的动态，因为用户急于提取资金。

Aave在事件发生后，用户撤回资产，导致协议上的资产约$60亿美元的下降。与该协议相关的代币在过去24小时的交易中下跌了约15%。

我们仍不知道的事情

关于验证者如何被攻破的关键问题仍未解答。该系统依赖于LayerZero的官方节点，这引发了关于它是被黑客攻击、配置错误还是误导的疑问。

“是被黑客攻击了吗？是被误导了吗？我们不知道，”Egorov说。

攻击者的身份也仍然未知，虽然Guillemet表示攻击规模表明这是一个复杂的行为者。

“显然不是一些脚本小子，”他说。

对DeFi信任的重大打击

除了直接损失，这一攻击事件再次提醒我们，随着DeFi的日益互联，一个层面的失败可以迅速在整个系统中级联。

Egorov认为，非孤立的借贷模型，其中资产在池中共享风险，放大了此类事件的影响。

他还指出了新资产如何在借贷平台上架时的不足，表示像Kelp的1对1验证者设置这样的配置应当早些被标记。

然而，Egorov表示，也有一线希望。“加密是一个严酷的环境，任何银行都无法在其中生存——但我们正在应对这个问题，”他说。“我认为DeFi会从这次事件中吸取教训，变得比以前更强大。”

尽管像这样的事件导致协议升级和重新设计，但它们也渐渐削弱了投资者对更广泛DeFi领域的信心。

“总的来说，这类事件侵蚀了对DeFi协议的信任，”Guillemet说。

“而2026年很可能会是黑客攻击最严重的一年，”他补充道。

阅读更多：“DeFi已经死亡”：加密社区在今年最大黑客攻击暴露跨链风险后忙于救援