Kelp DAO 世紀大劫案：DeFi 安全的警鐘，Oracle 势力的重新洗牌

一場 293 億元的災難，粉碎了 DeFi 的信任防線

你還記得那天嗎？2024 年 4 月 18 日，整個加密圈都被一個消息炸醒——Kelp DAO 遭到攻擊，駭客在轉瞬之間帶走了高達 2.93 億美元（約新台幣 93 億元）的 rsETH 代幣。這不是什麼小打小鬧的閃電貸攻擊，而是一次精心策劃的跨鏈橋漏洞利用。

我得老實告訴你，當時我看到這則新聞時，心裡真的涼了一半。這不只是 Kelp DAO 的悲劇，它是整個 DeFi 產業的警鐘——我們以為已經足夠安全的基礎設施，原來只是看起來堅固的沙堡。

漏洞的元兇：單點失敗的致命錯誤

這起攻擊的細節令人不寒而慄。根據 LayerZero 後來在 4 月 20 日的聲明，問題出在 Kelp DAO 的實現架構上——他們只依賴了一個單一的 LayerZero DVN（Verified Node）作為唯一驗證路徑。

這是什麼概念？想象你家門鎖只裝了一個鎖，但你不知道的是，那把鎖的鎖芯其實早就被複製了無數遍。攻擊者就是利用這個「單點失敗」（Single Point of Failure），輕易地繞過了跨鏈橋的安全驗證機制，將 116,500 顆 rsETH 代幣席捲一空。

更諷刺的是，這並不是什麼新鮮的漏洞類型。先前就有許多人警告過，不能只依賴單一的驗證節點。但就像所有的歷史教訓一樣，人總是要等到災難發生，才會痛得記住。

蝴蝶效應：DeFi 協議的集體逃難潮

劫案發生後的連鎖反應，才真正精采。

4 月 19 日比特幣 DeFi 平台 Solv Protocol 站了出來，扔下一顆震撼彈——他們要全面遷移到 Chainlink 的 CCIP（Cross-Chain Interoperability Protocol），並且放棄 LayerZero 橋接。他們說這是經過「全面安全審查」後的結論，認為 CCIP 提供了「最強的安全保障」。

同一天，流動性協議 Tydro 也宣布，他們要離開舊的 Oracle 提供商 Chaos Labs。原因是 Chaos Labs 先前遭遇了一次事件，導致 Tydro 不得不暫停市場交易，因為他們發現價格資訊出現了問題——那種感覺就像是，你正在開車，突然儀表板告訴你油箱是滿的，但其實早已經見底。

就連 Kelp DAO 自己，也在他们被洗劫後，果斷地向 Chainlink 投降——他們把 rsETH 代幣遷移到了 Chainlink 的基礎設施，徹底告別了 LayerZero 驅動的跨鏈橋。

為什麼是 Chainlink？數據不會說謊

讓我們聊聊這場風暴的中心人物——Chainlink。

根據 DefiLlama 的數據，Chainlink 目前穩坐 Oracle 市場的第一把交椅，佔有率高达 58%，累计保护的价值超过 320 億美元。這不是什麼小数目，這是整個 DeFi 生态將近六成的信任。

Chainlink Labs 的戰略計畫負責人 Zach Rynes 說了一句很有意思的話：「這次事件給了整個產業一個當頭棒喝。」他告訴 Cointelegraph，越来越多的 DeFi 團隊在做安全審查時，開始意識到必須把老舊的 Oracle 和橋接系統升級成 Chainlink 的基礎設施，才能在最基本的地方穩住防線。

但更有說服力的是，Chainlink 在極端市場事件中的紀錄。Rynes特別提到，從 2020 年 Covid 崩盤、2022 年 FTX 倒閉，到 2025 年的一系列重大波動事件，Chainlink 都挺過來了，沒有任何停擺。這种「在風暴中依舊穩定」的表现，正是現在 DeFi 協議最需要的東西。

市場洗牌：誰能笑到最後？

這起事件讓我想起了一個殘酷的問題：當大家在講去中心化的時候，卻往往在Oracle 這個環節上高度集中。現在的趨勢很明顯——市場正在快速地向少數「可信賴」的 Oracle 提供商聚攏。

RedStone 的共同創辦人 Marcin Kazmierczak 說得直接：「市場上正在形成一個較小的信任Oracle 集團。」他的意思是，隨著资本越來越集中在有紀錄的提供商，那些沒有通過考驗的選手，遲早會被淘汰。

Chronicle（現在是第二大 Oracle 提供商，保護了 76 億美元的價值）的創辦人 Nik Kunkel 倒是有不同的角度：「任何時候，當大部分生態系統依賴單一基礎設施，都是有風險的。」他補充說，要降低這些風險，數據基礎設施必須保持「獨立、透明、可驗證」的狀態。

這讓我想到一個比喻：如果把 DeFi 看成是一個城市的水電系統，那 Oracle 就是水管和電線。你可以有好幾條備用線，但如果主要的那條水管爆了，整個城市還是會陷入混亂。關鍵不是「只有一條」，而是「這條夠不夠堅固」。

教訓與下一步：安全從來不是免費的

寫到這裡，我想對所有還在觀望的 DeFi 團隊說幾句實話：

第一，Oracle 的選擇不是「比較便宜」或「用起來方便」那麼簡單。這是你系統的心臟——心臟不好的話，穿什麼西裝都沒用。

第二，所謂的「去中心化」，不是說你在十個地方各放一個驗證節點，而是這些節點真的能夠互相制衡、獨立運作。如果十個節點都是同一個供應商的同一套代码，那跟「一個」沒有分別。

第三，這次的 Kelp DAO 事件，不是終點。攻擊者的工具只會越來越精緻，而我們的防線，必須比他們的攻擊更早一步。

看著現在的趨勢，我個人認為，未來的 Oracle 市場會更加「M型化」——頂端的几個大玩家會吃掉大部分的份額，而中間那段「沒有特色、沒有紀錄」的提供商，會快速地被邊緣化。

這是殘酷的，但也是健康的。畢竟，在一個要保護數十億美元的產業裡，我們沒有本錢說「下次會更好」。

結語：警報已響，未來誰能生存？

Kelp DAO 的 2.93 億美元，不只是一個數字。它是一記重錘，敲碎了我們對「跨鏈橋很安全」的天真幻想，也逼著整個產業重新思考——什麼才是真正的「可信賴」？

現在的趋势很明確：Solv Protocol 搬了，Tydro 搬了，Kelp DAO 也搬了。接下来还会有谁？我不知道。但我知道的是，這場變動，才剛剛開始。

對於所有的 DeFi 團隊，我的建議很簡單——現在就把 Oracle 審查列入你的優先事項。因為當下一次攻擊來臨時，你不想成為那個「當初如果」的遺憾。

讓我們拭目以待。