今年最大規模的加密貨幣竊案
2026 年 4 月 18 日，攻擊者從建構於以太坊網路上的去中心化金融協議 KelpDAO 竊取價值約 2.9 億美元的加密貨幣，成為今年規模最大的數位資產竊案。在事件中遭波及的跨鏈基礎設施供應商 LayerZero Labs，根據初步技術跡象指出，這起攻擊出自北韓 Lazarus Group 旗下的專責小組 TraderTraitor，並稱行動展現高度複雜性，疑似由國家支持。距離同一批威脅行為者據稱從 Drift Protocol 竊走 2.85 億美元僅僅數週；北韓駭客光是在 4 月竊取的資產總額就超過 5.75 億美元。
攻擊目標是 rsETH，這是 KelpDAO 發行的流動性再質押代幣，代表已質押、可賺取收益的以太幣，同時仍可用於其他去中心化應用程式。竊賊利用跨鏈驗證流程中的弱點，竊走 116,500 枚 rsETH，價值約 2.93 億美元，之後再透過旨在隱匿交易軌跡的加密貨幣混幣服務 Tornado Cash，洗出部分資金。聯合國專家小組先前估計，自 2017 年以來，北韓已竊取超過 30 億美元的加密貨幣，並利用這些非法所得協助資助核武器發展計畫。
這起事件不只是一起孤立的犯罪活動。安全分析人士認為，這是平壤加速對去中心化金融生態系發動攻勢的證據，也暴露跨鏈橋與驗證機制運作方式中的根本弱點。這起竊案震撼加密貨幣產業，促使大型借貸平台 Aave 凍結市場，並引發受影響協議數十億美元的資金提領潮。
跨鏈漏洞如何遭到利用
KelpDAO 是流動性再質押協議，使用者存入以太幣後可取得 rsETH 代幣。這些衍生代幣代表底層已質押資產，並透過以太坊再質押基礎設施 EigenLayer 持續賺取獎勵。透過 LayerZero 等互通層，rsETH 可在不同區塊鏈網路間移轉，提升使用彈性，但也擴大了潛在攻擊面。這項跨鏈功能成為今年迄今最大規模加密貨幣攻擊的切入點。
攻擊者鎖定去中心化驗證網路（DVN），該網路負責驗證不同區塊鏈之間傳遞的訊息。駭客並非利用 KelpDAO 智慧合約程式碼本身的漏洞，而是操縱支援驗證作業的基礎設施。他們入侵特定的遠端程序呼叫（RPC）節點；這些節點是應用程式讀取區塊鏈資料的通訊端點。接著，駭客將偽造資料注入驗證層。
為擴大攻擊效果，威脅行為者同步對合法 RPC 節點發動分散式阻斷服務（DDoS）攻擊。這波攻擊降低了可信資料來源的可用性，迫使系統依賴正提供假資料的遭入侵節點。簡言之，攻擊者污染了驗證流程，使詐欺性的跨鏈訊息被當成合法訊息接受，儘管底層交易事實上從未在區塊鏈上發生。
一項關鍵弱點讓這場欺騙得以奏效。KelpDAO 的跨鏈作業採用單一 DVN 設定，意即訊息有效性只由一個驗證者檢查，未要求多個獨立驗證者取得共識。LayerZero 表示，這種設定形成單一故障點，讓偽造訊息未經額外驗證便通過。攻擊者使用專門設計的自訂負載，以盡可能少的警示向 DVN 偽造訊息，進而將 rsETH 代幣未經授權地轉入其控制的錢包。
LayerZero 與 KelpDAO 互相指責
竊案發生後，LayerZero 與 KelpDAO 公開爭論這起安全事件的責任歸屬。LayerZero 堅稱，事件完全是因 KelpDAO 選擇採用單一驗證者設定所致，儘管 LayerZero 曾建議使用多個獨立 DVN。該公司強調，先前已向 KelpDAO 說明 DVN 多元化的最佳做法；若採用經妥善強化、要求多個驗證者取得共識的設定，這次攻擊就不會得逞。
LayerZero 發布詳細的技術事後分析，說明 RPC 欺騙攻擊手法，並表示使用不同設定的其他跨鏈資產或應用程式不會受到連帶影響。該公司宣布，將停止為採用單一驗證者設定的應用程式簽署訊息，以防類似事件再度發生。LayerZero 指認此次攻擊者為 TraderTraitor，這是以加密貨幣平台為目標的 Lazarus Group 旗下小組。
KelpDAO 不認同這項說法，表示自 2024 年 1 月起便一直使用 LayerZero 基礎設施，並與 LayerZero 團隊保持公開溝通。KelpDAO 指出，在擴展至 Layer 2 時，雙方曾討論 DVN 設定，當時 LayerZero 明確確認預設設定合適。該協議主張，LayerZero 的預設設定促成了有漏洞的配置，並質疑使用者是否應為被當成標準選項提供的安全參數負起全部責任。
採用存在單一故障點的設定，意味著沒有獨立驗證者能發現並拒絕偽造訊息。LayerZero 和其他外部單位先前曾向 KelpDAO 說明 DVN 多元化的最佳做法。儘管收到這些建議，KelpDAO 仍選擇採用 1/1 DVN 設定。
安全專家也針對這場爭論提出看法，指出若安全性取決於使用者閱讀文件並手動選擇較安全的選項，便代表去中心化系統存在根本設計缺陷。區塊鏈安全公司 SVRN 營運長 David Schwed 表示，如果某項設定被認定不安全，就不應將它列為可用選項。這也反映 Web3 生態系更廣泛的矛盾：去中心化理想與實際上採用安全預設值的需求之間，存在拉扯。
對去中心化金融造成連鎖衝擊
這起竊案的影響遠遠超出 KelpDAO 本身，凸顯現代去中心化金融協議彼此緊密相連。由於 rsETH 是多個借貸平台接受的抵押品，這次攻擊引發的系統性風險在數小時內便波及整個生態系。大型去中心化借貸協議 Aave 的鎖定總價值幾乎下滑 80 億美元，投資人紛紛急著提領資產。該協議凍結了以太坊、Arbitrum、Base、Mantle 和 Linea 上的 rsETH 市場，以防進一步暴露於風險之中。
攻擊者展現高超的金融操作手法，將竊得的 rsETH 存入 Aave v3 作為抵押品，借出包裝以太幣，在平台上形成約 1.95 億美元債務。使用者紛紛提領資產以避免可能的損失，導致 Aave v3 借貸池使用率達到上限，逾 51 億美元的穩定幣因此一度無法提領。Compound 和 Euler 協議也通報受到事件影響，但已採取緊急措施限制風險擴散。
Cardano 創辦人 Charles Hoskinson 在直播中分析這起攻擊，區分最初的竊案與後續透過借貸市場引發的連鎖衝擊。他指出，這次事件的新意不在於偽造跨鏈橋訊息本身，而在於攻擊者如何以竊得的 rsETH 作為抵押品借出流動資產，將單純竊案演變成至少九個協議的資產負債危機。這種次級攻擊途徑把受污染的抵押品轉化為打擊更廣泛 DeFi 生態系的武器。
消息傳出後，市場劇烈震盪。流動性提供者撤出支持，rsETH 代幣在最初 24 小時內於 1,600 至 2,500 美元之間波動。事件發生後 48 小時內，DeFi 全體鎖定總價值下滑約 130 億美元。Arbitrum 安全委員會成功凍結約 30,766 枚 ETH，價值 7,100 萬美元，約占被竊資金的四分之一，但大部分資金仍由攻擊者控制。
Lazarus Group 與國家支持的竊案
將攻擊歸因於北韓 Lazarus Group，符合其由國家支持、透過竊取加密貨幣規避國際制裁並資助武器計畫的既有模式。此次攻擊中遭指認的特定小組 TraderTraitor，近年來與多起重大竊案有關，其中包括 2026 年稍早從 Bybit 竊走 15 億美元的案件，該案也是史上規模最大的加密貨幣竊案。聯合國監察人員已記錄平壤如何將這些非法所得直接用於核武與彈道飛彈發展。
安全研究人員指出，北韓網路行動已從針對交易所的機會型攻擊，演變為對去中心化金融根本基礎設施展開複雜、長期的滲透行動。ENS Labs 資訊安全長 Alexander Urbelis 認為，這些事件並非孤立個案，而是持續進行的一系列行動。他強調，Lazarus 等組織不只是帶著更多財富離開，也變得更加強大，利用竊得的資源擴充工具、精進技術，並投入未來的攻擊行動。
這些環境面對的不是打了就跑的攻擊者，而是有紀律的對手；他們懂得如何串連基礎設施、應用程式與信任關係中的弱點。
這起攻擊的手法顯示 Lazarus 的鎖定策略有所演變。該組織不再只利用智慧合約漏洞或竊取私鑰，而是開始把目標轉向跨鏈與再質押基礎設施，也就是連接不同區塊鏈網路的底層管道。這些層級技術複雜、通常承載大量資產，也往往比表層應用程式更難監控。攻擊者入侵驗證基礎設施，而非應用程式邏輯，展現出對去中心化系統如何信任與驗證資訊的深入了解。
Nine Blocks Capital Management 共同創辦人 Henri Arslanian 對這項歸因深信不疑。他表示，全球沒有其他組織具備執行此類駭客攻擊所需的專業知識與實力，並指出 KelpDAO 攻擊展現的技術複雜度與行動安全程度，只有國家級能力才能達到。攻擊者使用 Tornado Cash 洗錢，並結合基礎設施入侵與社交工程環節發動多階段攻擊，也支持這項判斷。
協商嘗試與安全教訓
在一項罕見舉動中，億萬富豪、Tron Network 創辦人 Justin Sun 公開懇求駭客歸還竊得資金。Sun 在社群媒體上表示願意直接與攻擊者協商，詢問對方想要多少，同時主張沒必要因此犧牲 Aave 和 KelpDAO。這番介入凸顯攻擊帶來的系統性風險有多嚴重，尤其是與 Sun 旗下交易所 HTX 有關的地址，曾向 Aave 帳戶轉入數億美元。
Kelp DAO 駭客，你想要多少？我們談談。當然，也會有 Kelp DAO 協助。為了這起駭客攻擊犧牲 Aave 和 Kelp DAO，讓它們因此倒下，實在不值得。反正你也花不了 3 億美元。
這起事件在區塊鏈安全社群引發激烈辯論，焦點在於去中心化與安全性之間如何取得平衡。Charles Hoskinson 認為，問題出在驗證邏輯，而非應用程式邏輯；他指出，若採用五名驗證者中至少三名同意的設定，而非單一驗證者設定，就能阻止這次偽造攻擊。這項批評也延伸至更廣泛的以太坊生態系，複雜的跨鏈互動會形成各種依賴關係，可能放大單一故障點的影響。
安全專業人士主張採用零信任架構，假設系統終將遭到入侵，並在複雜環境中強制執行嚴格驗證。建議採取的防護措施包括強化 RPC 端點、導入多方共識機制、部署完善的 DDoS 防禦，以及加入能在偵測到異常時自動暫停交易的斷路器。KelpDAO 攻擊顯示，在去中心化金融中，整條鏈的強度取決於各個環節的防護；一旦其中一環失效，後果就會迅速連鎖擴大。
對剛進入 DeFi 領域的人來說，這起竊案鮮明提醒我們，去中心化不是非黑即白的特性，而是一連串關於信任與驗證的選擇。隨著北韓網路行動持續調整並擴大，業界面臨越來越大的壓力，必須把安全性設為預設，而非僅提供安全建議，確保最安全的選項最容易使用，而不是深埋在技術文件裡。
重點整理
- 北韓 Lazarus Group 旗下 TraderTraitor 小組涉嫌於 2026 年 4 月 18 日從 KelpDAO 竊取價值約 2.9 億美元的 rsETH 代幣
- 攻擊利用 KelZero 跨鏈基礎設施的單一驗證者設定，偽造驗證訊息並竊走資金
- 攻擊者入侵 RPC 節點並發動 DDoS 攻擊，迫使系統依賴遭污染的資料來源
- 竊案在 DeFi 生態系引發連鎖衝擊，Aave 被迫凍結市場，借貸協議也有 80 億美元資金遭提領
- LayerZero 和 KelpDAO 公開互相指責；LayerZero 認為設定選擇不安全，KelpDAO 則稱自己沿用預設設定
- 這是 2026 年 4 月北韓第二起重大加密貨幣竊案，前一起是從 Drift Protocol 竊走 2.85 億美元
- Arbitrum 安全委員會已凍結約 7,100 萬美元的竊款，大部分資金則透過 Tornado Cash 洗出
- 聯合國專家小組估計，北韓自 2017 年以來已竊取超過 30 億美元的加密貨幣，用於資助核武發展
