290億美元的教訓：LayerZero安全漏洞引爆DeFi危機，誰該為損失買單？

一場震驚整個區塊鏈世界的駭客攻擊

各位區塊鏈愛好者，今天要聊的話題可能有點沉重，但絕對值得你停下來認真看看。2月22日，一個名為Kelp DAO的專案在LayerZero橋接協議上遭遇了史上最大規模的攻擊之一，駭客一次性帶走了約116,500顆Restaked ETH（rsETH），價值接近2.92億美元。這不是演習，這是真真切切發生在我們眼前的DeFi悲劇。

當消息傳出的那一刻，整個幣圈都沸騰了。大家都在問同一個問題：這筆天文數字的損失，誰來負責？是要由專案方買單？LayerZero這個「中間人」該負責？還是說，這就是所謂的「風險自負」？

技術細節：為什麼單一驗證點會成為致命弱點？

讓我們把時間倒回到事發當天。LayerZero在事後發布的聲明中指出，問題的根源在於Kelp的DVN（去中心化驗證網路）設置存在嚴重缺陷。簡單來說，Kelp的rsETH橋接只依賴了單一的LayerZero Labs DVN作為驗證路徑，這就像是把所有的雞蛋放在一個籃子裡。

「我們之前就已經建議他們不要這樣做，」LayerZero在聲明中無奈地寫道。據了解，LayerZero一直倡導專案方採用多DVN配置，透過多重獨立驗證來確保跨鏈訊息的安全性。但Kelp選擇忽視了這個建議，最終酿成悲劇。

攻擊者利用這個單一驗證點的漏洞，成功偽造了跨鏈訊息，把價值近3億美元的rsETH從橋接中盜走。這種手法在業界被稱為「單點故障」（Single Point of Failure），是區塊鏈安全領域最不該犯的錯誤之一。

火燒連環船：Aave也遭波及

如果你以為這只是Kelp和LayerZero的問題，那你就太天真了。這場風波的餘波，可說是「火燒連環船」，甚至連借貸龍頭Aave也深受其害。

原來，攻擊者在得手之後，並沒有就此收手。他們把盜來的rsETH當作擔保品，在Aave上進行借貸操作。根據數據顯示，Aave的總鎖定價值（TVL）因此暴跌，從原本的約264億美元蒸發到只剩下175億美元，蒸發金額高達89億美元！

更慘的是，這筆「髒錢」在Aave系統內創造了約1.95億美元的「壞帳」（bad debt）。這意味著，即使現在攻擊者已經無法再動用這些資金，Aave平台上已經留下了難以填補的財務黑洞。

Aave團隊反應迅速，立刻凍結了所有rsETH的存提功能，防止損失進一步擴大。但傷害已經造成——投資人的信心崩盤了。

社群論戰：誰該為損失買單？

事件發生後，整個加密貨幣社群陷入了前所未有的激烈討論。大家的焦點從「怎麼被黑的」轉移到「誰該負責賠償」。

知名硬體錢包OneKey的創辦人王逸詩提出了一个務實的建議：「最好的辦法是跟駭客談判，給他們10%到15%的賞金，把大部分資金拿回來。」他在一篇X貼文中補充道：「如果談判失敗，LayerZero的生態系統基金應該買單——他們口袋最深，也最應該為這個生態的長期發展負責。」

另一位重量級人物，DeFi數據平台DeFiLlama的匿名創辦人0xngmi則提出了三種可能的解決方案：

• 社會化損失：讓所有用戶共同承擔這筆損失
• 對L2上的rsETH持有人「拉地毯」：這是一種極端做法，意味著放棄部分用戶的利益
• 回滾至快照：嘗試把用戶餘額恢復到攻擊前的狀態——但他承認這「非常困難」

目前為止，Kelp DAO還沒有公佈任何補償或恢復計劃。有趣的是，王逸詩透露，Kelp DAO目前已經「破產」（broke），他們能做的也許只能是透過代幣和未來收入來補償用戶，或者考慮直接把整個專案出售。

流動性危機：DeFi的根本隱憂

除了直接的財務損失，這次事件還暴露了DeFi領域一個更深層的問題——流動性危機。

借貸協議Spark的匿名策略負責人MoneySupply在X平台上發出警告：「在Aave上，以太幣（ETH）的流動性已經低到一個臨界點。這是一個關鍵的安全風險——當市場利用率達到100%時，清算根本無法進行。」

他進一步解釋：「以目前Aave的流動性緊縮狀況，如果ETH/USD價格下跌15%到20%，可能會造成大量的壞帳累積——而且這還不包括直接由rsETH攻擊造成的問題。」

這番話點出了一個殘酷的事實：我們的DeFi系統在面對大幅波動時，可能比想像中更加脆弱。

LayerZero的回應與下一步

面對排山倒海的批評，LayerZero選擇站出來澄清。他們強調，這次事件反映的是Kelp的「不安全配置」，而非LayerZero本身被駭。他們將積極推動所有使用1/1 DVN配置的應用程式遷移到多DVN配置，並且將停止為仍保留單一驗證器設計的應用程式簽署或驗證訊息。

這是一個明確的信號：LayerZero正在試圖與「單點故障」的設計模式徹底切割。但對於已經遭受損失的投資人來說，這樣的回應似乎有點太晚了。

我們能從中學到什麼？

親愛的讀者們，這起事件給我們上了寶貴的一課：

第一，千萬不要把所有籌碼押在單一解決方案上。無論是多簽名、多DVN，還是分散你的DeFi投資組合，風險管理永遠是第一位。

第二，不要盲目信任任何協議的「安全承諾」。即使是最頂級的區塊鏈專案，也可能因為一個配置錯誤而萬劫不復。做好自己的功課，別把命運交給別人。

第三，DeFi的流動性風險比我們想像中更可怕。當市場出現極端波動時，你可能會發現自己的資產根本無法及時變現。

結語：危機還是轉機？

2.9億美元，這個數字足以讓任何人心頭一緊。但話說回來，每一次重大的安全事件，往往也是行業進步的催化劑。2016年的DAO攻擊促成了以太坊的硬分叉，無數的閃電貸攻擊推動了更嚴格的代碼審計標準。

這一次，LayerZero和整個DeFi生態會從290億美元的教訓中學到什麼？讓我們拭目以待。但在此之前，作為投資人的我們，唯一能做的就是保持警覺，做好功課，別把雞蛋放在同一個籃子裡。

如果這篇文章讓你有所收穫，歡迎分享給更多的幣圈朋友。記住，在這個充滿機會與風險的世界裡，知識就是最好的防護傘。我們下期再見！