KelpDAO 駭客事件四個月後,Aave 的 TVL 仍減少 43%

Aave 是加密貨幣領域最大的借貸協議之一,至今仍未從 4 月 18 日 KelpDAO 遭駭的事件中復原。其智慧合約中持有的所有加密資產價值,目前仍較攻擊發生時低 43%,較 52 週高點低 67%。

就在駭客事件發生前,KelpDAO 用戶才將 264 億美元託付給 Aave——此數字已遠低於 2025 年 10 月 459 億美元的高峰。如今,該生態系僅持有 149 億美元的資產。

北韓駭客於 4 月中旬洗劫 KelpDAO,而由於 Aave 接受 KelpDAO 代幣作為貸款抵押品,因此蒙受九位數美元的損失。

北韓感染了整個產業

儘管根據 Aave 自身的報告,該協議本身從未遭駭,但這起事件使其失去了長期保有的「DeFi 最大平台」頭銜。四個月過去了,存款戶依然裹足不前。

LayerZero 是 KelpDAO 跨鏈橋的軟體供應商,在事件發生後 48 小時內便將矛頭指向北韓——這項早期研判稍後獲得外部調查人員證實。

KelpDAO 接受 ETH 存款,將其質押於以太坊區塊鏈以賺取收益,並發行名為 rsETH 的可交易憑證代幣。這類質押憑證代幣在 DeFi 借貸市場中被用作抵押品,這正是 Aave 的資產負債表與另一個協議的安全漏洞產生連結的原因。竊賊將偷來的 rsETH 存入 Aave,並以此借出真正的 ETH,使 Aave 與同為借貸協議的 Compound 蒙受估計合計 2.46 億美元的壞帳。

Aave 強制清算攻擊者的部位,業界盟友重建了缺失的抵押品,到 5 月下旬,Aave 已宣布所有市場恢復正常。即便如此,其流動性池的美元價值始終未見復原,Aave 目前仍較 10 月的高峰低約三分之二。

Aave 的衰退對 DeFi 為何重要

作為非託管借貸應用程式,Aave 在 2025 年結束時的總鎖定價值(TVL)達 550 億美元——超過 DeFi 借貸領域總額的一半。對借款人而言,TVL 並非抽象概念:它反映了借款人可動用的存款與存貨的美元等值價值。價值減少 43% 的資金池,可貸出的資金也隨之減少,且波動性高出許多。

根據 Chainalysis 調查人員的說法,北韓的 Lazarus Group 可能協助了 KelpDAO 的攻擊者;而 LayerZero 自家的事後檢討報告則將這項行動歸咎於與北韓有關、名為 TraderTraitor 的駭客組織。Protos 也曾報導疑似與 Bybit 及 BTC Turk 遭駭事件有關的鏈上關聯。

Aave 始終未真正從 KelpDAO 事件中復原

Aave 代幣在竊案發生後的一天內下跌約 20%,從約 115 美元跌至 92 美元以下。目前該代幣在 89 美元附近交易,仍略低於遭駭前的水準。

遭駭後兩天內,Aave 的存款驟減逾 80 億美元,穩定幣資金池的使用率達到 100%——數十億美元的加密美元實質上遭到凍結,其他人已無法再提取穩定幣。

4 月 27 日,Aave 宣布新成立的聯盟 DeFi United 已承諾提供足夠的 ETH,以恢復 rsETH 的完整抵押支撐。隨後於 5 月 6 日在 Ethereum 與 Arbitrum 上清算攻擊者的部位。替代抵押品分批流入該跨鏈橋的儲備,直至 5 月下旬。

即使到了 5 月,恐慌仍未平息。TVL 持續流失至 6 月,一度在 119 億美元附近觸底,之後才部分回升。Aave 目前約為 149 億美元——較遭駭當日低 43%。這波反彈僅收復遭駭當日至 6 月低點之間逾 140 億美元跌幅中的約 30 億美元,使 TVL 仍較遭駭前水準低約 115 億美元。

根據 Aave 自身的報告,其合約、預言機與清算機制皆完全按設計運作,但北韓仍能利用偽造的抵押品提取資金。TVL 能否回升至 Aave 遭駭前持有的 264 億美元,仍是判斷這項技術上的「安全無虞」是否正轉化為存款回流的最明確指標。