DeFi, 這是最危險的時刻: 真正的洞不在密碼中

漂流:人肉簽署(2.85亿美元)

KelpDAO 的跨鏈橋以 1 的 DVD 運行( 已解析的驗證器網路, 去中央驗證器網路) , 也就是說, 只有一個驗證器 。 一個節點足以批准交叉連結訊息。 "去中心化"是名詞,不是结构。

攻擊分期發生 攻擊者先入侵了RPC內部的節點, 當數據來源掌握在自己手中時,他們就製造了一個交叉連結訊息,指示KelpDAO用"從未有鏈子"的破壞合同來伪造rETH。

UTC下午17點35分, 在幾分鐘內 這些rETHs被安置在Aave , 每個價值約2500美元。 KelpDAO在UTC18:21中止合同前。

UTC下午18點26分和18點28分 每一次移除4萬 ERSH的後續試圖被卷回 中止停止了更多的損失 但沒有原則。

Kelp本身的邏輯裡沒有任何重新進入的漏洞, 規定跨鏈橋的計算變數──目的鏈上釋放的資產必須與源鏈上摧毀的資產相等──在系統層被違反,而不是交易層被違反. 一個節點,數百萬的損失。

以下為公開爭議, LayerZero最初的事后報告直接把大麻扔給Kelp, Kelp在5月5日的抗議備忘錄中, Kelp 聲稱, LayerZero 的家, OFT Quickstart, GitHub 範例與開發者樣本, 在出厂時使用 Hive Zero Labs 作為强制性驗證器, 並且沒有第二張; 並向 LayerZero 的工作人员展示了Telegram截圖, 安全研究員Sujith Somraaj(前實驗員YeareZero)曾呈交一份缺口報告。

TyerleZero回應Kelp的備忘錄, 空間獎賞不包括「應用層設定」, 也是標準的「平台/應用程式」邊界(LayerZero發言人指出, 否則「任何應用程式都可以設立為唯一的DVD, Kelp表示Kelp最初部署多部DVD, 平台 vs. 應用程式的邊界確實是真正的爭議點。

更別提了 塞羅最後回覆的第二部分 5月8日, 在第一份报告發表三周後, 我們沒有被自己的DVD限制 因為保護。 協議停止支持DVD系統中的1–1, 將預設值移到5–5, 從3–5提到7–10, 并宣布了新的发行監控平台(Console). 不管底部配置是Kelp的錯誤, LayerZero的錯誤, 或者很可能是一個可以部署到危險狀態的平台和一個主动降級的集成方程之间的共同故障。

4月30日, 是"沉默的黑客"。

EOA - 地址0x5c629/f8c0b5368f523c85bfe79d2a8efb64fb0c8 - 在部署在伊瑟魯姆、基地、爆破和貝拉鐵鏈的瓦薩比的永久合同經理人中, 不再簽名 合同框架本可以支持定時符,但配置是零。

不对称的多米諾

KelpDAO事件不只是美元本身, 這是 DeFi 第一次真正的壓力測試 。 這也是目前最好的例子之一。

Aave用超過250億澳元跨越所有鐵鏈。 整個DeFi TVL在48小時內跌落了134.1億美元。 不对称才是真正的故事 一個與跨鏈橋設計錯誤的小型協議。

當襲擊者投放無支持的rSETH並放入Aave時,Aave的合同是嚴格規定的. 它的預言機 在攻擊者借來的短窗裡 仍然讀到接近1:1. 借出資金會釋放真正的WETH。

市場即將回應。 ERSTH在數小時內在DEX進行深度交易, Aave V3 和 V4 冻结 RSETH 市場; Fluid, Compund, Euler, Morpho 在幾小時內跟蹤(SparkLend早在一月就已經從 RSETH 上掉下來) 。 Arbitrum, Base, Mantle, Linea, Blast, Scroll Holders of reth 目前無法相信他們手中的符號是: 1:1 回到以太的主機網路上 。

之後的流出並非因為Aave被黑客入侵, Ave在事發前幾周积累了相当的rSETH位置, 因為使用者正在利用重新登記; 所以傳播不是纯粹的「無辜旁觀者」理論。

該組織對此事的回應值得另行指出, 協議的緊急管理員在V3和V4所有受影響的鏈子上冻结了ERSTH市場, 一小時內, Aave的服務提供商在治理論壇上發表了一份詳細的事件報告, 公開地模擬了兩種不同的不良債務。

Aave的創辦人Stani Kulechov親自承諾5000 ETH復元; DeFi聯盟由Aave的服務商領導, 這是目前業內最大的跨安排救援。

Aave的態度隨著不善的說法越來越明確, 保護伞預備區最初承諾要補充缺口, 故事雖小但值得注意, Aave在操作層面妥善處理了此事, 但並未改變結構現實:將USDC存入協議的存款人。

這是更深层次的结构性問題 單池設計讓Aave有深度行動能力, 雖然Aave自己的治理很勤勉, 而且合同也很好。

這項法案在2026年4月首次以规模化的方式被清除。 法界未明. 導致 DeFi 增長的結構, 現在已成為傳輸渠道。

四、开放的真相

我們要繞過一個一直避免對話的行业。

這項行動仍依賴信任的第三方的金融基礎。 根據此定義, 今天以 DeFi 名下銷售的大多都是 OpenFi 。 安全委員會有權轉移行政官的控制权 一個只有 1 個證件的跨鏈橋 一個具有跨鏈管理角色的部署者. 像名詞一樣, 每個都是在一個叫做無缝的系統裡的"特權缝合"。

值得回顾的是, Szabo的「信任減少」計算, Butterin的「可靠的中性」基礎, Cypherpunk堅持「要求撤銷而非審查中介的私密與自由」, 透明度是必要和容易的。 實際上的硬點子 也就是在數萬多余的節點上 運行全球狀態機的所有摩擦付款 無法強迫、抓捕、行贿或入侵, 一個公共帳戶簿,你可以檢查,但你無法影響, 和一個公共帳戶, OpenFi 保留了交易的前半部分, 悄悄地失去了下半部分。

不同的協議依赖于不同类型的信任和不同的失敗模式. 給他們起名很有用: 信任(有人為你們持有真正的資產, 你們用债权來交易——跨鏈橋, 包裝符號); 提升信任(有人可以改變合同行為—— 代理, 安全會議—— 在你們交存之後); 預測者信任(有人提供合同本身不能產生的數據—— 物價) ; 活信(系統在連續運作的基础上運作—— 有些人可以在你們交存之後做) 。 分類者、復活者、守護者; 治理信任(提供貨幣持有者, 大多數協議都依賴其中的三、四份 也讓讀者可以猜到其他的。

更大的問題是其中一些假設是完全隱藏的。 在5月的道歉中, 這項失敗在內部被修复, 也從未向使用者透露, 也無法估價實際發生的風險。

「訓練輪子」, 出售的重點是行政官的私人鑰匙和安全理事会是过渡性的——它今天就存在了,在協議成熟到可以獨立行走時,它會被移除. 訓練的輪子實際上幾乎沒脫過 重新命名、重新包裝、更新或秘密轉至基礎 L2Beat的Phase 0 / Phase 1 / Phase 2框架是最清潔的例外, L2Beat表示法在自己的市場上使用。

這是工程現實, 如果想快速上線, 任何變更都需要完全移動, 任何漏洞都將永久化, 任何新的功能都要求使用者重新選擇新的部署。 除了技術因素外, 實際上, VC 的時間表無法讓憑證周期正式化三年。

一個不灵活的協議無法存取新的預言, 無法支持新的連結, 除非所有使用者與集成方程式被迫移動, 結果是,對任何個人團隊來說,理性的選擇是"用管理員的私密金鑰,并保證在未來移除它";對任何個人使用者來說,理性的選擇都受此取舍,因為替代協議要么不存在,要么不是液體. OpenFi 不是個人建築者的道德失敗 。 這是納什的平衡。

實際上的表示是 DeFi 幾乎普遍選擇了 局部的調整, 這個選擇可以辯護 這項協議並非以名義為重, 繼續以「分權」方式銷售。

更接近於「揭發」而非「革命」: 依據L2Beat模式, 必須標示信任; 延遲了很久, 讓使用者在權限完成前退出; 定价「操作風險」而非虛構的「純碼風險」保險市場; 2026年4月未能證明 OpenFi 不可行 。 它證明它以 DeFi 的樣式銷售 OpenFi 系統, 而它的使用者並沒有為它們的失敗模式做準備 。 為了讓這些系統安全 第一步是承認我們建造了這玩意。

五. 集中式雙面硬幣

OpenFi的核心取舍在 Arbitrium 冰凍中顯現出來 。 在利用KelpDAO漏洞三天後, 大部分標準都要求冻结:防止偷來的錢被洗刷。

但请注意, 這不是分散式基础设施的本性。 這是一個中央化的開關 由設計而存在... 以「緊急反應」為理由。

同樣的機制讓阿比特魯姆在凱爾普之後扮演一個"好人", 有一次,這個電力被合法地用來冻结偷來的資金;另一次,它被社會工程劫持,並被用來從乾燥的使用者中提取存款. 利用,切兩邊。

社會工程(Ronin, Drift), 內部入侵(Multichain), 主权強制, 法律強制(Tornado Cash, USDC)及劫持管理(Beanstalk, Mango Markets), 他們每個人都是不同的攻擊 不同的辯護 和"政會失敗"的句子 包圍了這一切 開始為它辯護的第一步。

這是DeFi的「中央雙面硬幣」, 在緊急情況下能帶來「好結果」的行動杠杆。

更深的問題是:在Arbitrum, 社會上建立合法性, 2016年DAO在Etheum的分裂仍是一個經典案例:半数社群認為6000萬元的漏洞是社會共识最明顯和合法使用;另一半人坚持认为這是對"法典是法律"的致命背叛。

Circe和Tether常冻结USDC和USDT的地址, 冻结被打包成遵守,但基本上可以自行酌定。 Arbitrum的冷藏有效。 DAO叉 從某种意义上說 它成功了 USDC的冰雪每天都在工作 問題不在于「關閉開關是否會有好結果」。

任何版本的取舍都不可能是"只有一個". 要么你關掉開關,要么你有些東西可以被抓住,被操控,被社會化;要么你沒有,你必須接受某些東西是永久的和不可逆的。

這些杠杆也無法互換。 Arbitrum的安理會聯合起來, 可以通過緊急進程(「速率+範圍」)。

THORchain 的杠杆更窄:它可以通过 RUNE 中止並重新資本化, 但無權扣押或轉換使用者資產。 Aave的緊急管理者可以冻结市場及調整風險參數, MakerDAO的緊急關閉是單向匯出, 不同的形式,不同的取舍,但所有的縮寫都稱為"關閉開關". 一個愿意誠實接受自己信任模式的協議。

工業也倾向于避免在「極端環境中的杠杆化」和「傳統的節奏中的杠杆化」之間的另一個區別。

比特币(Bitcoin)和Etheum(Etheum)原则上都具有足够的合力, 這兩條鏈子仍然被认为可信, DAO在過去10年中分離, 比特币從沒經歷過這種事 根據創用CC授權使用。

反省一下阿比特魯姆的安理會 它以傳統的節奏運作 它定期投票支持升級。 Kelp在冰封前及之后進行了更多緊急行動。 它不是休眠能力的储备,而是活跃的理事机构。 OpenFi批評比起「歇斯底里杠杆」, 主动杠杆沒有這個信號 他們只能靠自己的控制來評估。

在2021年遇到漏洞後, Arbitrium走過「關閉開關」路線, 兩種選擇都是可以辯護的。 沒有人是自由的 也必須告訴使用者每個具体的協議究竟能做出什麼樣的取舍。

最後一個轉折, 協議一旦被冻结, 國防部的冻结能力現在已成為對國防部的通訊及國家執行清單的強制反應。 決定「撤除網路開關」也是決定「繼續使用在協議存续期中會持續發展的強制用途清單」, 因此,THARchain的“無利可图”地位不僅是一种工程方案,而且是一种管理姿勢,它通过防止“遵守的可能性”而先行阻止“遵守义务”。 這種姿勢能否在持續的執法壓力下生存下去。

這種誠實比對外觀的機構推銷更重要。 操作性關閉開關, 這可以由基金管理團隊或保險公司承擔 不是2比5的協定 叫最小信任 而是在零時鐘內跑 前者是一种合法的工程選擇。 后者是沒人能付出的風險。

六,下一步呢