Aave 在透過 LayerZero 橋接遭受 230M rsETH 攻擊後，加強了抵押品規則

Aave 在 2026 年最大規模的 DeFi 攻擊後重寫規則，此次攻擊暴露了一項隱藏的系統性風險：並非貸款代碼存在漏洞，而是跨鏈橋被入侵。 事件經過 - 在四月，攻擊者透過 LayerZero 橋梁偽造跨鏈訊息，利用 KelpDAO 的 rsETH（一種「再質押」的以太坊代幣，代表用戶重複使用的質押 ETH）。 - LayerZero 網絡中的單一驗證者批准了這條假訊息，使攻擊者能在接收鏈上鑄造 116,500 枚無擔保的 rsETH。 - 這些偽造的 rsETH 代幣被存入 Aave v3 作為抵押品，使攻擊者獲得約 2.3 億美元的貸款，而一旦這些代幣被揭露為毫無價值，Aave 無法追回資金。 - 至關重要的是，Aave 的智能合約運作如常；問題出在橋梁驗證流程。LayerZero 已承認，其「以單一配置運行高價值驗證設置」是「犯了錯誤」。 Aave 的回應：擴大風險標準與更快的防禦機制 - 在一份詳細的事故後分析中，Aave 宣布對 V3 上所有資產進行全面審查，並重新制定上線標準。該協議表示，傳統評估方式——波幅、流動性與智能合約審計——已不再足夠。 - 未來，抵押品批准將明確評估鏈下與跨協議基礎設施：橋梁安全與驗證模型、預言機依賴、託管安排、第三方合約、運營安全及二級市場流動性，同時兼顧財務與代碼風險。 - Aave 還在開發自動化防護機制，以便在資產出現異常時迅速行動。其中一項建議措施是：若預設風險閾值被突破，將自動將該資產的貸款價值比（LTV）降至零，從而在其損失擴散前即時取消其借入能力。 立即風險管理措施 - 自從此次攻擊以來，Aave 的風險團隊已在 V3 市場實施了約 295 項參數調整，包括 168 項供應上限降低與 66 項借入上限降低，以限制對高風險資產的暴露。 為何這至關重要 - 此事件凸顯了日益相互關聯的 DeFi 基礎設施——橋梁、訊息網絡及其他鏈下驗證者——如何創造出傳統以智能合約為中心的審查所忽略的攻擊面。 - Aave 的全面改革標誌著行業更廣泛的轉變：協議不僅需評估代幣合約本身，還需評估這些代幣所依賴的外部基礎設施。隨著 DeFi 日趨可組合化，這些依賴關係將成為衡量系統性風險的核心。 結論：此次攻擊是一記警鐘。Aave 正藉此推動抵押品審查與自動化安全機制，納入跨鏈與運營威脅因素——這將成為其他協議不久後必須跟隨的模式。