DeFi 到了最危险的时候：真正的漏洞不在代码里

Drift：人肉多签（2.85 亿美元）

KelpDAO 的跨链桥跑在 1-of-1 DVN（Decentralized Verifier Network，去中心化验证者网络）上——也就是只有一个验证者。一个节点就足以批准一次跨链消息。「去中心化」是词汇，不是架构。

攻击分阶段进行。攻击者先入侵了验证者赖以读取源链状态的内部 RPC 节点，再对外部节点发起协同 DDoS 攻击，迫使系统回退到被污染的基础设施。在数据源被自己掌控后，他们伪造了一条跨链消息，指示 KelpDAO 以太坊主网合约凭一笔「在任何源链上都从未发生过」的销毁去铸造 rsETH。

UTC 17:35，合约释放了 116,500 枚 rsETH——价值约 2.92 亿美元，约相当于该代币流通供应量的 18%——发给攻击者控制的地址。几分钟内，这些 rsETH 就被作为抵押品存入 Aave，每枚被按约 $2,500 估值。攻击者用无支撑抵押品借出真实的 WETH、USDC、wBTC，在 KelpDAO 于 UTC 18:21 暂停合约之前，最终提走超过 82,600 ETH（约 1.91 亿美元）。

UTC 18:26 和 18:28 的两次后续尝试，每次都想再抽走 40,000 rsETH，均被回滚。暂停拦下了进一步的损失，但没拦下最初的那一笔。

没有重入漏洞，没有缺失的访问检查，也没有 Kelp 自身逻辑内的预言机小动作。定义跨链桥的会计不变量——目的链上释放的资产，必须等于源链上销毁的资产——在系统层面被违反了，而不是在交易层面。 一个节点，几亿美元的损失。

接下来发生的是一场公开争议：责任到底落在哪一方？LayerZero 最初的事后报告把锅直接甩给 Kelp，理由是 Kelp 违反指引选择了 1-of-1 DVN。Kelp 在 5 月 5 日的反驳备忘录里画的是另一张图：当时 47% 的活跃 LayerZero OApp 合约——约 1,250 个应用、合计市值超 45 亿美元——都跑在同一种单一验证者配置上。 Kelp 主张：LayerZero 自家的 OFT Quickstart、GitHub 示例和开发者模板，出厂时把 LayerZero Labs 自家 DVN 当作必备验证者，并且没有第二个；并出示了来自 LayerZero 工作人员的 Telegram 截图，对方在两年半、八次集成讨论里告诉 Kelp 团队「用默认值没问题」。安全研究员 Sujith Somraaj（前 LayerZero 审计员）曾在 Immunefi 提交过精确描述这一攻击模式的漏洞赏金报告，被 LayerZero 以「验证者网络选择属于应用层配置」为由拒绝。

LayerZero 对 Kelp 备忘录的回应是：这个表述有误导性。漏洞赏金把「应用层配置」排除在外，是一条标准的「平台 / 应用」边界（LayerZero 发言人指出，否则「任何应用都可以把自己设为唯一 DVN，恶意收取奖励」）；协议在几乎所有路径下的默认值实际上是多 DVN；至于那些出现 1-of-1 的模板，里面那个唯一的 DVN 指向一个叫「DeadDVN」的占位合约，会拒绝所有消息，逼开发者在上线前自行配置安全栈。针对 Kelp，LayerZero 表示 Kelp 最初部署的是多 DVN，是后来手动降级到 1-of-1 的——不是「用了默认值」。 平台 vs. 应用的边界确实是真实争议点，理性的工程师在「模板可以被配置成危险状态的平台，要不要为用户实际部署的配置负责」这一问题上会有分歧。

更没有争议的，是 LayerZero 最终回应的第二部分。5 月 8 日，距首份事后报告三周后，LayerZero 反转并道歉：「我们犯了一个错误，允许我们的 DVN 在高价值交易里作为 1-of-1 DVN 运行。我们没有约束自己的 DVN 在为什么提供保护。」 协议在 DVN 体系内停止支持 1-of-1，把默认值迁到 5-of-5，把自家多签门槛从 3-of-5 提到 7-of-10，并宣布了新的发行方监控平台（Console）。底层配置究竟是 Kelp 的错、LayerZero 的错，还是——最有可能的——一个出厂就能被配置成危险状态的平台与一个主动降级的集成方之间的共同失败，双方的最终回应都收敛到同一个答案：1-of-1 验证在规模上不安全，行业本不该用 2.92 亿美元学会这件事。

4 月 30 日的 Wasabi 比另外两起小一个数量级，也正因此最难堪。它是一次「无聊的黑客」。

一个部署者 EOA——地址 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8——在 Wasabi 部署于 Ethereum、Base、Blast 和 Bera 链上的永续合约管理器里持有 ADMIN_ROLE。没有多签。合约框架本来支持 timelock，但配置值是零。

三、非对称多米诺

KelpDAO 事件之所以超出其美元金额本身的意义，是因为它之后发生的事——这是 DeFi 可组合性在运营失败下第一次真正意义上的压力测试——同时也是迄今最能说明「蔓延数学有多荒诞地不对称」的案例。

把规模摆清楚：事发时 KelpDAO 的 rsETH TVL 约 10 亿美元；Aave 跨所有链的 AUM 超过 250 亿美元。一个体量大概只有 Aave 4% 的协议，仅凭一次事件就在 48 小时内从 Aave 一家抽走了 84.5 亿美元——三天半内这一数字增长到 151 亿美元——同期整个 DeFi TVL 在那 48 小时窗口内下降了 132.1 亿美元。不对称才是真正的故事。一家跨链桥配置错的小协议，引发了一家按所有自身合约指标看都「按规范运行」的、远比它大得多的协议遭遇了银行挤兑。

当攻击者把无支撑的 rsETH 铸出来并存入 Aave 时，Aave 的合约完全是照着规范执行的。它的预言机在攻击者借贷的那段短暂窗口里，仍然把 rsETH 读成接近 1:1。借贷池放出真实的 WETH，针对的是一份对链上所有系统看来都「有效」的抵押品。

市场反应是即刻的。rsETH 数小时内就在 DEX 上以深度折价交易，反映出一种真实不确定——剩下 82% 的供应到底是不是还完全有支撑。Aave V3 和 V4 冻结 rsETH 市场；Fluid、Compound、Euler、Morpho 在数小时内跟进（SparkLend 早在 1 月就已下架 rsETH）。Arbitrum、Base、Mantle、Linea、Blast、Scroll 上的 rsETH 持有者，手里的代币此刻已经无法确信能 1:1 兑回以太坊主网托管。

随后的资金外流不是因为 Aave 被黑了，而是存款人无法确定为他们贷款担保的抵押品到底还有没有偿付能力。事件爆发前几周，Aave 已经积累了相当规模的 rsETH 头寸，因为用户在搭杠杆做再质押交易；协议从中赚手续费，没给这个敞口设上限。所以这场蔓延不是纯粹的「无辜旁观者」逻辑——Aave 自己选择承担了对手盘风险——但触发事件在它自己的合约之外，也在它自己治理可探知的范围之外。

Aave 对此次事件的响应值得单独记一笔，因为它给其他大型借贷协议立了一个会被对照衡量的标准。事件曝光数小时内，协议的紧急管理员就在所有受影响链的 V3 和 V4 上冻结了 rsETH 市场，把 LTV 设成零，封住了之后的损失。48 小时内，Aave 的服务提供商在治理论坛发布了一份详细事件报告，公开建模了两种不同的坏账情形——如果 Kelp 把损失在全体 rsETH 持有者间社会化，坏账 1.237 亿美元；如果损失被隔离到 L2 部署，则是 2.301 亿美元——还附上了逐链分解，说明哪些市场要承担哪些缺口。

Aave 创始人 Stani Kulechov 个人承诺出 5,000 ETH 用于追偿；由 Aave 服务提供商牵头组建的 DeFi United 联盟——拉入 Lido、EtherFi、LayerZero、Mantle 等——筹到了超过 3 亿美元的承诺来填补 rsETH 缺口。这是这个行业迄今规模最大的一次跨协议救援。

批评的部分更窄，应当跟响应部分分开来看：Aave 的姿态随着坏账区间逐步清晰而出现了漂移。 最初承诺其 Umbrella 储备会覆盖缺口，几天内就被软化成「探索弥补缺口的路径」。叙事漂移不大但值得注意——抽象语境下听起来言之凿凿的协议级保险，一旦数字具体下来就变成了可谈判项。 Aave 在操作层面处理得当，并不改变结构层面的事实：把 USDC 存进协议的存款人，对一种他们可能压根不知道存在的代币承担了对手盘风险，而协议的保险机制最后的约束力，比文档里暗示的弱得多。

这才是更深的结构性问题。让 Aave 拥有深度流动性和简洁体验的单池设计，也意味着一次糟糕的抵押品上架，会在整个协议层面产生爆炸半径。 即便 Aave 自己的治理勤勉、合约稳健，协议依然处于一家小得多的对手盘的安全失败的下游——而这个下游敞口足以让九位数的存款人资金承压，并触发九家协议的市场冻结。

支撑 DeFi 增长的可组合性，同时也是它的蔓延传导通道，2026 年 4 月是这张账单第一次以规模化方式被结清。 修法不明显。曾经驱动 DeFi 增长的可组合性，如今变成了「一家协议的运营失败如何变成另一家协议银行挤兑」的传导渠道。

四、OpenFi 的真相

我们绕到了一个行业一直回避的对话上。

就叫它 OpenFi 吧：准入无许可、链上可审计，但在「原本去中心化论点说应该移除中介」的关键节点上，运营上依然依赖受信第三方的金融基础设施。 按这个定义，今天被冠以 DeFi 之名营销的大多数东西都是 OpenFi。一个有权转移管理员控制权的 Security Council。一座只有 1-of-1 验证者的跨链桥。一个拥有跨链 ADMIN_ROLE 的部署者 EOA。一个集中到足以让耐心少数派俘获国库的治理代币，就像 Nouns。每一项都是号称无缝的系统里被打了补丁的「特权接缝」。

值得回想一下原始论点到底说了什么。Szabo 的「信任最小化」计算、Buterin 的「可信中立」基础设施、Cypherpunk 关于「隐私与自由要求移除而非审计中介」的坚持——这些都不是关于「透明」的。透明是必要的，也是容易的。真正困难的主张——那个能为「把全球状态机跑在数万个冗余节点上」的所有摩擦买单的主张——是「系统里没有任何一方能被胁迫、俘获、贿赂或入侵以改变规则」。 一份你能审视却无法影响的公开账本，跟一份管理员私钥躺在某人保险箱里硬件钱包里的公开账本，是两样东西。OpenFi 守住了这笔交易的前半部分，悄悄丢掉了后半部分。

不同协议依赖不同种类的信任，失败模式也不一样。把它们一一命名是有用的：托管信任（有人替你保管真实资产，你交易的是对它的索取权——跨链桥、包装代币）；升级信任（在你存入之后有人可以更改合约行为——代理管理员、Security Council）；预言机信任（有人提供合约自身无法产生的数据——价格喂价）；活性信任（系统正常运作依赖有人持续运营——排序器、Relayer、Keeper）；治理信任（代币持有者，或在有争议投票里能凑齐法定人数的那一小部分）。大多数协议同时依赖其中三到四种。大多数营销文案把它们全部塌缩进「去中心化」一个词，让读者自己猜剩下的。

更大的问题是其中一些假设被完全藏起来了。LayerZero 在 5 月的道歉里承认，三年半前，它的一位多签签名者曾用生产环境硬件钱包做过一次个人交易。这个失误内部修复后从未向用户披露，最后是作为某次加固公告的一部分浮出水面，被包装成例行整顿，而不是自首式的承认。信任系统的用户没有任何途径知道这件事，也没有任何途径为「它真的发生过」这一风险定价。

业内对这个缺口有个委婉说法：「训练轮」。卖点是说管理员私钥和 Security Council 是过渡性的——今天存在，等协议成熟到能独立走路再移除。实践中训练轮几乎从不取下。它们被改名、被重新打包、被续期，或被悄悄转移到基金会名下。 L2Beat 的 Stage 0 / Stage 1 / Stage 2 框架是最干净的例外，是「这个行业只要愿意，就能坦率地描述自己实际的信任假设」的存在性证明。几乎没有协议在自己的营销里采用 L2Beat 式表达，这本身就是「不诚实是结构性的、不是偶发的」的证据。

这是工程现实，并且是由建设者实际面临的激励、在每一层塑造出来的。如果你想快速上线复杂产品、能在不分叉协议的前提下响应漏洞、能支持新抵押品类型、能跟生态其他部分集成，你就需要运营杠杆。 完全不可变、不留特权访问的合约确实稳健，但也脆——任何变更都要全量迁移，任何漏洞都成为永久性的，任何新功能都要求用户重新选择加入新部署。除了技术因素，还有一层现实：VC 时间表不容许三年的形式化验证周期，先上线的协议先拿流动性。

可组合性又把问题放大了：一个不可变协议无法接入新预言机，无法支持新链，无法修补已发现的漏洞，除非强制所有用户和集成方迁移。 结果就是：对任何单个团队，理性选择都是「带着管理员私钥发布，承诺未来移除」；对任何单个用户，理性选择都是接受这个权衡，因为替代协议要么不存在，要么没流动性。OpenFi 不是个别建设者的道德失败。它是这个领域的纳什均衡。

诚实的表述是：DeFi 几乎是普遍地选择了用一部分去中心化换运营上的可行性。 这个选择是可辩护的。不诚实之处在于不点名权衡，并继续把协议作为「去中心化」来营销，而它们实际的安全模型依赖于少数几个签名者、一个验证者，或一个能被社工攻陷的多签。

前路更接近「披露」，而不是「革命」：按 L2Beat 模型强制信任假设标签化；足够长的时间延迟，让用户能在特权操作完成前退出；定价「运营风险」而不是虚构的「纯代码风险」的保险市场；以及对「系统里哪些部分确实需要升级路径」和「哪些部分只是因为架构习惯被设成可变」做一次清醒切分。2026 年 4 月没有证明 OpenFi 不可行。它证明的是：把一个 OpenFi 系统当成 DeFi 来营销，它的用户对其实际具有的失败模式毫无准备。要让这种系统安全，第一步是诚实承认我们建造的就是这个东西。

五、中心化的两面性硬币

OpenFi 的核心权衡在 Arbitrum 冻结事件里变得肉眼可见。KelpDAO 漏洞被利用三天后，Arbitrum 的 Security Council 投票冻结了攻击者已经转到 Arbitrum One 上的 30,766 ETH——约 7,100 万美元。冻结与执法机关协调进行，按大多数标准看是个好结果：被盗资金被阻止洗白，攻击者的下游通道被关闭，部分用户损失或许还能找回。

但请注意是什么让这次冻结成为可能：Arbitrum 有一个有权「伸手进链上转移资金」的 Security Council。这不是去中心化基础设施的特性。这是一个按设计就存在的中心化关闭开关——在「紧急响应」的理由下是可辩护的，被以批评者一直担心的方式使用——不一定糟糕，但一定后果重大。

让 Arbitrum 在 Kelp 事件后扮演「好人」的同一类机制，恰好也是让 Drift 被攻陷的同一形态的机制——一小撮可信签名者，掌握着执行协议级操作的权力，仅在「这种权力受到多有力的约束」上有所不同。 一次，这种权力被合法用于冻结被盗资金；另一次，它被社会工程劫持，用来抽干用户存款。杠杆，两边都能割人。

「关闭开关」至少通过五种不同渠道失败——社会工程（Ronin、Drift）、内部人员被入侵（Multichain）、主权胁迫、法律强制（Tornado Cash、USDC），以及治理劫持（Beanstalk、Mango Markets）。每一种都是不同的攻击，有不同的防御，「Council 失败了」一句话遮蔽了全部。点出具体的失败渠道，是开始防御它的第一步。

这就是 DeFi 里「中心化的两面性硬币」，也是关于这个行业当前状态最重要的一件事：每一根能在紧急情况下带来「好结果」的运营杠杆，同时也是一个攻击面——它会在另一起事件里带来糟糕的结果。

更深的问题是：在 Arbitrum 这个案例里，「好结果」这个词承载了太多。合法性是被社会建构出来的，同样形态的杠杆在共识远没那么干净的情况下也被拉动过。Ethereum 2016 年的 DAO 分叉至今仍是经典案例：半个社区坚持，反转那次 6,000 万美元的漏洞是社会共识最显然且合法的用法；另一半坚持，这是对「代码即法律」的致命背叛，并分叉出去，让原链以 Ethereum Classic 的形式延续。

Circle 和 Tether 经常冻结 USDC 和 USDT 地址，有时是响应 OFAC 制裁，有时仅凭怀疑就动手，受影响的用户没有任何申诉渠道——冻结被包装为合规，但本质上是裁量权。Arbitrum 冻结奏效了。DAO 分叉，从某种意义上说也奏效了。USDC 冻结日常都在奏效。诚实的问题不是「关闭开关是否能产生好结果」，而是「谁来决定什么算好结果」——以及协议的用户对这一决策流程到底被告知过什么。

没有哪个版本的权衡可以「只取其一」。 你要么有关闭开关，那你就有一样可以被俘获、被操纵、被社工的东西；要么你没有，那你就必须接受某些事件将是永久的、不可挽回的。

这些杠杆本身也不可互换。Arbitrum 的 Security Council 可以通过紧急流程在低门槛下迅速转移资金——「速度 + 范围」的组合让冻结成为可能，但同一组合也让 Council 自身被入侵时的失败模式变得灾难性。

THORChain 的杠杆更窄：可以暂停并通过 RUNE 增发再资本化，但无权扣押或重定向用户资产。Aave 的紧急管理员可以冻结市场、调整风险参数，但不能转移用户余额。MakerDAO 的紧急关闭是一个单向出口，不是没收工具。形态不同，权衡不同，简称里却全都叫「关闭开关」。 一个愿意诚实对待自身信任模型的协议，欠用户的不是范畴，而是具体形态。

行业还倾向于回避另一个区分：「在极端情况下才动用的杠杆」与「在常规节奏中操作的杠杆」之间的区别。

Bitcoin 和 Ethereum 原则上都有关闭开关——节点、矿工、验证者和交易所之间一次足够程度的协同，明天就能分叉任意一条链。这两条链之所以仍被视为可信地信任最小化，是因为这根杠杆几乎从未被拉动，每次拉动的代价都是一次永久的社区分裂。 DAO 分叉过去十年了，至今仍是 Ethereum 历史上最有争议的一次事件。Bitcoin 从未经历过类似分叉。杠杆存在，但在常规事务上被可信地承诺为「按兵不动」，正是这段长时间的克制历史，让底层系统获得了任何设计特性单独都无法赋予的可信赖度。

反观 Arbitrum 的 Security Council，它跑在常规节奏上。它定期投票升级。Kelp 冻结之前它就执行过紧急行动，之后还会执行更多。它不是一项储备的休眠能力，而是一个活跃的治理机关。 OpenFi 批评适用于「活跃杠杆」的力度远远超过适用于「休眠杠杆」的力度，因为休眠杠杆的克制本身就是一种信号——使用门槛极高的运营者赢得的信任，是杠杆本身无法授予的。 活跃杠杆没这种信号。它们只能靠自身的控制来评估，而这些控制已经被反复证明不够。

THORChain 在 2021 年遭遇漏洞之后采取了「无杠杆」路线，因为没有干预手段而备受批评。Arbitrum 走了「关闭开关」路线并获得了赞誉。两种选择都是可辩护的。没有哪一种是免费的。 行业必须停止假装可以两者兼得——并且必须诚实地告诉用户每一个具体协议实际上做了哪一种权衡。

最后一个转折：这场权衡随着时间，只会朝一个方向恶化。 一旦一个协议可以冻结，监管者和法院就越来越倾向于裁定它「必须」冻结。USDC 的冻结能力一开始是紧急合规工具，如今已成为对 OFAC 通知以及不断扩展的州级执法清单的事实强制响应。「带着关闭开关上线」这一决定，同时也是「继承一份会在协议生命周期中持续增长的强制使用清单」的决定，其中很多用法跟协议自身社区会支持的方向并不一致。 THORChain 的「无杠杆」立场，因此不仅是工程选择，也是监管姿态——它通过预先排除「合规的可能性」，预先排除了「合规的义务」。这种姿态能不能在持续的执法压力下生存是开放问题，但不对称是真实存在的：有杠杆的协议可以被迫使用它；没有的不能。

对场外观望的机构来说，这种诚实比营销重要得多。一个带清晰披露的运营关闭开关，附以记录在案的治理、密钥管理和事件响应——这是一家资金管理团队或保险公司可以承保的东西。一个号称信任最小化、却跑在零 timelock 的 2-of-5 多签之上的协议则不是。前者是合法的工程选择。后者是一种没人能定价的风险。

六、接下来会怎样