在一次重大的去中心化金融（DeFi）安全事件中，由于KelpDAO桥接漏洞导致高达2.92亿美元的损失，Lido EarnETH金库面临高达2160万美元的风险敞口。Lido Lido DAO于2024年11月15日确认了这一事件，凸显了去中心化金融协议内部相互关联的风险。因此，该协议已暂时停止赎回，同时评估全部损失。值得注意的是，Lido的核心质押协议及其主要流动性质押代币stETH和wstETH并未受到此次孤立事件的影响。
Lido EarnETH Vault 面临直接风险
Lido EarnETH 金库在Aave借贷平台上持有以ETH为抵押的 rsETH 杠杆头寸。该头寸价值约 2160 万美元，约占金库总资产的 9%。该头寸中的 rsETH 代币价值源自 KelpDAO 桥，而 KelpDAO 桥遭遇了灾难性的攻击。因此，这些代币的价值和可赎回性目前正受到密切关注。Lido 团队正在积极努力量化此次事件对金库参与者的具体财务影响。
此外，该协议已启动应急响应计划。受影响的 EarnETH 金库的赎回操作已暂停。此次暂停是为了对金库的状况进行全面的取证分析。团队的目标是防止任何可能加剧损失的无序提款。同时，Lido 向用户保证，其 300 万美元的首损资金保障机制仍然有效。如果 rsETH 代币无法挽回，该基金将用于弥补初始损失。
KelpDAO桥漏洞利用剖析
此次攻击的根源可以追溯到跨链基础设施协议 KelpDAO 桥。链上分析师报告称，攻击者利用了该桥智能合约代码中的一个漏洞。该漏洞导致未经授权铸造了 116,500 个 rsETH 代币，价值约 2.92 亿美元。随后，攻击者迅速抽干了多个去中心化交易所的流动性。下表概述了此次攻击的关键指标。
| 指标 | 细节 |
|---|---|
| 被利用的协议 | KelpDAO桥 |
| 提取的总价值 | 2.92亿美元 |
| 涉及的代币 | rsETH（116,500 个代币） |
| 主要攻击途径 | 智能合约漏洞 |
| 事件发生日期 | 2024年11月初 |
此次事件凸显了DeFi领域一个长期存在的挑战：桥接安全。桥接器用于促进区块链之间的资产转移，因此常常成为高价值的攻击目标。它们复杂的代码库和托管模型造成了多个潜在的攻击面。KelpDAO漏洞事件延续了近期一系列重大桥接器攻击事件的令人担忧的趋势，此前Ronin Bridge和Wormhole事件也曾发生过类似事件。
DeFi风险管理和协议间依赖性
这种情况展现了现代 DeFi 中存在的层层风险。Lido EarnETH 金库并未遭受自身智能合约的直接攻击，而是由于与Aave 的集成以及对 rsETH 的敞口，面临交易对手风险和资产贬值风险。这种连锁风险暴露了单一协议中的漏洞如何波及整个生态系统。风险管理人员强调，审计的重点不仅在于主要协议，还在于所有集成资产和合作伙伴的安全。
主要风险因素包括：
- 杠杆头寸：金库在Aave上的借贷行为加剧了潜在损失。
- 跨链资产依赖：对桥接资产（rsETH）的依赖引入了桥接特有的风险。
- 流动性依赖性：该头寸的价值依赖于rsETH的功能性市场。
丽都的回应和用户保护措施
Lido 的治理和运营团队已采取多步骤缓解策略。首先，他们立即向社区通报了此次风险暴露情况。透明度是应对此类危机的关键要素。其次，他们启动了临时赎回暂停机制，以稳定金库的账目。第三，他们明确了风险范围，确保用户了解核心质押操作是安全的。
300万美元的首损保障基金体现了一项积极主动的风险管理机制。该基金起到缓冲作用，在用户资金受到影响之前吸收初始损失。它的存在表明Lido对用户安全的承诺超越了单纯的智能合约安全。在完成rsETH持仓的全面审计后，协议将决定该基金的最终用途。社区治理机构可以对任何后续行动或补偿方案进行投票表决。
对流动性质押行业的更广泛影响
此次事件考验着流动性质押衍生品（LSD）生态系统的韧性。作为市场主导者，Lido 坚称其核心质押协议是隔离的。市场反应将是投资者信心的关键指标。从历史经验来看，管理得当、沟通清晰且有专项保险的事件通常能将长期损失降到最低。Lido 将其主质押引擎与其辅助收益库分离，是其有意为之的架构选择，旨在隔离风险。
其他流动性质押协议可能也在重新评估自身的集成方案和风险敞口。此次事件可能会加速行业向以下方向发展的趋势：
- 加强对第三方过桥服务提供商的尽职调查。
- 杠杆金库采取更为保守的抵押品政策。
- 加大对协议自有保险或国库担保的投入。
结论
Lido EarnETH金库遭受KelpDAO黑客攻击，凸显了去中心化金融（DeFi）领域错综复杂的风险网络。尽管2160万美元的损失数额巨大，但Lido的应对措施和现有保护机制旨在减轻用户损失。Lido核心质押协议的完整性依然完好无损，这对整个以太坊生态系统至关重要。此次事件也警醒所有DeFi参与者，不仅要审视协议的直接安全性，还要仔细评估其金融体系中每一项资产和合作伙伴的稳健性。最终的解决方案将取决于被盗rsETH资产的可恢复性以及Lido风险管理框架的有效性。
常见问题解答
Q1:我的 stETH 或 wstETH 能免受此次攻击吗？
A1：是的。Lido 已明确声明，此次事件与 Lido 核心质押协议 stETH 或 wstETH 无关，也不会对其造成影响。此次风险仅限于特定的收益型金库产品。
Q2：什么是 300 万美元首损保障机制？
A2：这是一个专门的资金池，旨在吸收某些丽都产品的初期损失，避免影响用户资金。它相当于针对特定风险情景的内部保险层。
Q3： EarnETH金库的赎回何时恢复？
A3： Lido 已暂时停止赎回，以评估 rsETH 贬值的具体财务影响。团队将在完成分析并确定必要步骤后公布恢复赎回的时间表。
Q4：桥接攻击如何影响使用不同协议的金库？
A4：该金库持有rsETH，这种代币的价值和功能完全依赖于KelpDAO桥。当该桥被黑客攻击且rsETH遭到利用时，该代币的基本价值主张受到损害，影响了所有持有者，包括Aave等其他平台上的金库。
Q5： DeFi收益库的用户应该从这次事件中学到什么？
A5：用户必须了解任何收益策略背后的具体资产和协议。风险不仅包括金库自身的智能合约，还包括其持有的资产（例如桥接代币）以及与其集成的平台（例如借贷市场）的安全性。分散投资和了解交易对手风险至关重要。
