Gate News 消息，4 月 19 日 — 4 月 18 日 17:35（UTC），一名攻擊者利用 Kelp DAO 由 LayerZero 驅動的跨鏈橋接漏洞，釋放 116,500 rsETH (約 $293 百萬，約佔該代幣流通供應量的 18%)，並將其轉移到由攻擊者控制的錢包，且沒有相應的 ETH 被鎖定。隨後，攻擊者將未獲擔保的 rsETH 存入 Aave V3 和 V4 作為抵押，並以此借出真實的包裝以太幣 (WETH)。等到 Kelp 的緊急多簽在 46 分鐘後凍結了該協議時，WETH 已被提領。
該橋接漏洞使攻擊者能夠提交一則「精心構造」的訊息，即使在源鏈上並沒有實際存入，也能通過驗證檢查。UTC 時間 18:26 與 18:28 的兩次後續嘗試欲再分別抽走另外每次 40,000 rsETH，但在啟動暫停後均被撤銷。
目前 Aave 的壞帳在 $177 百萬與 $236 百萬之間，主要集中在以太坊上的 rsETH/WETH 這一對交易。平台的總鎖倉量 (TVL) 下降約 $6 十億，WETH 市場利用率達到 100% (以致無法進一步提領)，AAVE 代幣則下跌超過 18%。Aave 的 Umbrella 保險基金持有約 $50 百萬，因而留下一個顯著的缺口。由於 rsETH 抵押無法贖回，且在未獲擔保供應被完全確認後也不會在貼近錨定價的附近交易，因此借款部位實際上無法被清算。
SparkLend、Fluid 與 Upshift 在數小時內已暫停或凍結 rsETH；Morpho 的隔離市場架構將曝險限制在兩個市場之間約 $1 百萬。由於在 Kelp 公布將儲備與未償付供應進行對帳之前，現時跨越 20 多條鏈上的 rsETH 面臨支撐不確定性。此次漏洞攻擊是 2026 年迄今規模最大的 DeFi 事件；截至今年年內的累計 DeFi 損失，約在 $450 百萬與 $482 百萬之間，覆蓋約 45 個協議。
