疑似朝鲜APT组织Lazarus Group | 加密货币KelpDAO 遭遇 2.9 亿美元巨额盗窃案

据区块链安全情报显示，知名 DeFi 流动性质押协议 KelpDAO 于 2026 年 4 月 18 日前后遭受一起规模高达 2.9 亿美元的加密货币盗窃事件。初步归因指向朝鲜国家支持的黑客组织 Lazarus Group（具体为 TraderTraitor 子团队）。此次攻击不仅精准打击了 KelpDAO 的 rsETH 代币，还间接波及 Compound、Euler 和 Aave 等主流借贷协议，凸显出跨境链上消息验证机制在高价值 DeFi 生态中的脆弱性。

事件核心事实

• 损失规模
• 资金流向
• 攻击发生时间

KelpDAO 作为以太坊主网上的流动性质押平台，主要业务是接收用户 ETH 存款并进行再质押（restaking），发行可流动的 rsETH 代币。该代币可通过 LayerZero 跨链协议在多链环境中继续赚取收益，同时保持 DeFi 生态中的流动性。此次攻击仅限于 rsETH，未引发其他资产或协议的系统性传染。

攻击技术细节：RPC 节点投毒 + DDoS 双管齐下

根据 LayerZero 官方后续披露的攻击向量，此次行动展现出极高的专业性和资源投入：

1. 目标锁定
2. 执行手法
• 攻击者首先入侵并控制部分 DVN 使用的 RPC 节点，向验证器注入（poisoned data）。
• 同时对健康的 RPC 节点实施 DDoS 攻击，迫使 DVN 系统放弃正常节点，转而依赖已被污染的节点。
• 结果：验证器错误地将一条认定为有效，进而授权攻击者未经授权转移 rsETH。
3. 攻击复杂度

KelpDAO 迅速响应，暂停了以太坊主网及所有 Layer 2 上的 rsETH 合约，并联合 LayerZero、Unichain 等合作伙伴展开全面调查。

Lazarus 集团归因：初步指标指向国家行为体

LayerZero 在 4 月 20 日发布的分析中指出，攻击的技术特征与已知 Lazarus Group 行为模式高度吻合：

• 历史关联
• 当前证据
• 情报评估

行业连锁反应与应急处置

• Aave 紧急干预
• 隔离效果
• 项目方表态

点评：DeFi 跨境安全进入新风险阶段

我认为此次事件再次验证了以下关键判断：

1. 跨链验证层已成为高价值攻击面
2. Lazarus 的战术升级
3. DeFi 风险传染路径
4. 防御建议

此案是 2026 年以来规模最大的单一 DeFi 事件之一，也再次提醒全球加密生态：技术创新速度必须与安全防御能力同步。KelpDAO 事件后续调查结果值得持续追踪，Lazarus 的下一步行动或将成为判断其战略重点的重要风向标。

参考：https://x.com/LayerZero_Core/status/2046081551574983137

https://www.bleepingcomputer.com/news/security/kelpdao-suffers-290-million-heist-tied-to-lazarus-hackers/

网络安全情报攻防站