Kelp 兩週後全面升級跨鏈橋、ether.fi 同步硬化 WeETH

距 4 月 18 日 Kelp DAO rsETH 跨鏈橋遭駭、116,500 顆 rsETH（約 2.92 億美元）被抽走的事件已過兩週。Kelp 4 月 29 日公告完成跨鏈橋全面升級，ether.fi 同日同步公布 weETH 三層安全硬化方案並加入 DeFi United 集體救援，捐贈 5,000 ETH。LayerZero、Consensys、Mantle 等多方累積已動員逾 70,000 ETH 救援資金，DeFi United 從事件爆發進入結構性後處理階段。

Kelp 4/29 跨鏈橋升級：驗證者改 4-of-4、Ethereum 唯一樞紐

原本攻擊者在 4 月 18 日利用 Kelp 跨鏈橋僅設定 1-of-1 DVN（Decentralized Verifier Network）的單點配置，偽造跨鏈訊息抽走 rsETH。Kelp 4/29 公告完成的硬化動作把驗證機制與拓撲結構重新設計：

第一，驗證節點從 1 個擴增為 4 個獨立 attestors—Canary、Horizen、LayerZero Labs、Nethermind—每條路徑進出皆需 4 個全部驗證通過，攻擊者必須同時攻陷分屬四個獨立基礎設施與司法管轄區的安全運營，才能偽造一則跨鏈訊息。第二，所有鏈的區塊確認數從 42 提高至 64，提升重組攻擊（reorg attack）的成本。第三，拓撲結構從 full mesh 改為 hub-and-spoke，所有 L2 對 L2 的直接路由廢除，所有跨鏈訊息皆強制經由以太坊主網中轉，移除 L2 之間的橫向依賴、縮小攻擊面積。

Kelp 在公告中強調「每一個偏離 LayerZero 預設值的設定都嚴格更強、絕不更弱」，並表示後續仍將「研究更安全的跨鏈基礎設施供應商」，留下未來換掉 LayerZero 的伏筆。

ether.fi 同步硬化 weETH 並加入 DeFi United，捐 5,000 ETH

ether.fi 4/29 18:13 UTC 公告：雖然自家 weETH 因事前已強制執行「2 個以上 DVN」設定、未直接受害，仍對 weETH 在全部 20 條部署鏈上執行協議級安全硬化。三層具體升級：

第一層 Message Library Pinning：把 SendUln302 與 ReceiveUln302 地址直接釘進 weETH 的 OApp 設定槽，LayerZero 的多簽錢包再也無法替換成繞過 DVN 驗證的 library；第二層 DVN 配置釘選 + 4/4 門檻：固定四個 DVN 集合，每則跨鏈訊息需 4/4 全數通過，任何一個 DVN 不可用或被攻破都會直接中斷訊息；第三層 Pair-Wise Rate Limits：對每條 (來源鏈, 目的鏈) 路徑設定保守的進出 weETH 上限，限額由 ether.fi 自家合約直接控制、不受上游 bridge 提供商影響。

升級結果是「LayerZero 的多簽完全無法在鏈上修改 weETH 的 bridge 設定，所有安全參數皆由 ether.fi 自家多簽獨家掌控」。ether.fi 同步宣告加入 DeFi United、由其基金會捐贈 5,000 ETH 進入專責救援金庫，並評估引入 Chainlink CCIP 或 Wormhole 作為第二個跨鏈訊息提供商，且將於 6 月底前停用 weETH 在 Scroll、Swell、Bera、zkSync、Mode、Blast、Morph、Sonic 等鏈上的橋接服務。

DeFi United 滿兩週：動員逾 70K ETH，USDC 借貸利率反應

由 Aave 主導發起、橫跨多個 DeFi 協議的 DeFi United 救援聯盟，自 4/24 起兩週內快速擴張。主要捐贈與貢獻包括：LayerZero Labs 承諾逾 10,000 ETH（5,000 ETH 注入 DeFi United、5,000 ETH 注入 Aave 流動性池）、Consensys 承諾最高 30,000 ETH、Mantle 擬以 30,000 ETH 形式貸給 Aave、ether.fi Foundation 5,000 ETH、Puffer Finance 動用部分國庫資本、River 注入 300 萬美元 USDT。DeFi United 募款 4/26 已突破 10 萬獨立地址捐款。

救援資金的注入直接反映在 Aave 借貸市場的利率上。根據鏈上分析師 DefiScope 4/30 觀察，當 Mantle 公告 30K ETH 貢獻的訊息發布瞬間，Aave 上的 USDC 借貸利率從約 15% 直接降至 6.23%，市場利用率（utilization）從接近 100% 回落至 91.5%，主要對應約 1 億美元的 USDC 還款流入（多為 USDe 套利槓桿解鎖）。換言之，「集體救援」不只是公關動作，而是真實重塑借貸市場流動性條件的力量。

不過，事件的後處理仍未完成。鏈上觀察者指出，攻擊發生 12 天後，攻擊者仍持有約 107,000 顆 rsETH 在 Aave 與 Compound 上的抵押倉位，這些倉位至今未被清算。原因是 unwind 這些倉位需要 Aave 與 Compound 兩邊的治理提案、暫時性的 oracle 調整、多簽控制的清算流程、以及透過 Kelp 的贖回路徑—是一場「委員會式清算」，往往需數週才能完成。Aave 計劃從 7 個攻擊者地址回收這 107K rsETH。從技術硬化、集體救援動員、到呆帳回收，DeFi 對「事後處理」的協調能力，正在這次事件中接受第一場真正的壓力測試。

這篇文章 Kelp 兩週後全面升級跨鏈橋、ether.fi 同步硬化 weETH 最早出現於 鏈新聞 ABMedia。