Ripple CTO警告DeFi桥接可能重蹈KelpDAO式漏洞的覆辙

Ripple首席技术官David Schwartz向去中心化金融（DeFi）领域发出最新警告，指出广泛使用的跨链桥接可能容易受到与近期KelpDAO漏洞相同的结构性弱点影响，KelpDAO漏洞是2026年最大的加密货币黑客事件之一。他在X平台上表示，他审查了几家DeFi基础设施，仅关注安全性和风险。

他的言论是在攻击者从KelpDAO的rsETH桥接中盗取约2.92亿美元资产后的几天内发表的，此次泄露重新引发了人们对跨链基础设施安全性的担忧。

根据他的研究，他确定大多数DeFi系统都包含顶级安全工具，但旨在防止KelpDAO式攻击的机制往往被视为可选。他表示，这主要是因为团队不愿承担额外的运营复杂性成本。

他写道：“他们通常在实质上建议不要使用最重要的安全机制，因为它们会带来便利性和运营复杂性成本。”

Schwartz表示，他的担忧是在评估Ripple计划中的RLUSD稳定币桥接系统时产生的。虽然许多协议在设计上看似稳健，但他认为，现实世界的部署往往未能达标，因为团队优先考虑便利性和快速扩张，而非严格的安全实践。

Schwartz表示DeFi平台优先考虑跨链扩张而非安全

在他的帖子中，Schwartz还 Cryptopolita 指出，跨链扩张的匆忙导致了一种增长优先、安全次要的文化，在这种文化中，最重要的保障措施正在被抛弃。他断言，大多数平台的卖点强调 易于集成，并隐含地期望最强大的安全工具实际上不会被使用。

此外，他表示KelpDAO攻击反映了一种危险的模式，即团队选择便利而非使用现有的顶级安全工具——这与他之前在DeFi评估中观察到的情况类似。

他表示：“我有一种奇怪的感觉，问题的部分原因可能是像KelpDAO那样，出于便利而选择不使用关键的LayerZero安全功能。”

最近，一些分析师也发出警告，称Solana上的Wrapped XRP（wXRP）可能是下一个倒下的多米诺骨牌，因为它依赖第三方发行商，并承担着与KelpDAO损失2.92亿美元相同的交易对手风险。XRP Ledger验证者VET在X上写道：“wXRP是一种发行资产；从风险角度来看，它远不及通过自我托管持有原生XRP。”

然而，一些跨链协议已经开始部署防御措施。例如，Flare暂时暂停了FXRP的桥接活动，推迟了任何代币赎回。

KelpDAO是如何损失292百万美元的？

KelpDAO漏洞中损失了约2.92亿美元，初步发现 显示 与朝鲜有关联的 Lazarus Group，特别是TraderTraitor，涉嫌共谋。在针对Kelp的LayerZero桥接的一笔交易中，攻击者盗取了116,500枚rsETH，约占该代币流通供应量的18%。

该漏洞旨在通过获取LayerZero Labs的DVN用于验证交易的足够RPC端点来毒害RPC基础设施。然而，此次泄露仅影响KelpDAO的rsETH配置，未对其他跨链资产或应用程序产生溢出效应。

区块链调查员ZachXBT首先在Telegram频道发出警报，随后安全公司Cyvers和PeckShield迅速证实了盗窃行为。Cyvers还显示，黑客在攻击前10小时使用Tornado Cash为其钱包充值——这是一种在盗窃前掩盖踪迹的老套手法。

漏洞发生后，代币被存入Aave V3以借入ETH和WETH，区块链数据随后显示通过Tornado Cash进行的洗钱行为。攻击者借入了约74,000枚ETH和WETH，在三个借贷平台上建立了超过2.36亿美元的负债，其中一个钱包在Aave中持有约1.2亿美元的ETH。

Schwartz在KelpDAO漏洞发生后不久也发表了评论。他描述该攻击非常复杂，并指出它利用了KelpDAO缺乏监督的弱点。Ripple前CTO Joel Katz也 指责 KelpDAO薄弱的安全设置导致了漏洞，并认为与该公司不同，RLUSD采取的是安全优先的桥接方法。