如果 Aave 的程式碼完全沒有問題，為什麼這起事件還是要算在 Aave 頭上，而不是完全歸咎於 Kelp 的橋接設計？
這個問題的答案，其實正是這起事件最值得記住的地方：責任的歸屬跟「誰的程式碼被攻破」不是同一件事。Aave 選擇讓 rsETH 進入 e-mode、把抵押率開到 93%，這是 Aave 治理自己做的決策，而這個決策的審查範圍完全沒有涵蓋 Kelp 橋接使用單一驗證者這件事——換句話說，Aave 治理在批准這個抵押品資格時，並沒有真正搞清楚自己批准的是什麼。
把責任完全推給 Kelp，等於假設借貸協議只需要對自己的程式碼負責，不需要對自己選擇接受哪些抵押品負責。但一個借貸協議的核心商業模式，就是「評估風險、決定該不該承接」——如果連這個評估都缺失了，程式碼本身寫得再乾淨，也無法阻止這種類型的損失。這也是為什麼把 Kelp 的橋接漏洞跟 Aave 的治理疏失分開來看，才能看清楚問題全貌：這是兩層獨立的失敗疊加在一起，不是其中一方的錯就能解釋全部損失。
Chaos Labs 這類專業風險服務商離職，跟這起事件之間有沒有直接的因果關係？
公開資訊裡沒有證據顯示 Chaos Labs 離職跟這起事件之間有直接的因果關係——沒有跡象顯示如果他們還在任，就一定會提前發現 Kelp 橋接的單一驗證者問題並阻止 e-mode 提案通過，畢竟開通 rsETH e-mode 的治理提案是在 1 月通過，Chaos Labs 一直到 4 月 6 日才離職，中間他們有超過兩個月的時間可以介入卻沒有,這代表即使風險服務商在任,也不必然會發現這個特定的橋接風險。
但這起事件值得記住的重點,不是「風險服務商離職導致了這次攻擊」這種簡化的因果論,而是一個更值得注意的時間巧合:一套原本設計來替使用者把關風險的問責體系,恰好在最需要它的時刻,出現了結構性的空缺。三個獨立監督角色同時空出,不代表下一次攻擊一定會發生,但它確實代表,原本應該存在的一層防護網,在關鍵時刻並不完整——這種「防護網存在缺口」的狀態,本身就是一種值得被記錄跟正視的風險,不需要證明因果關係,也足以成為評估一個協議當下治理健康度的重要訊號。
Morpho 跟 Aave 面對同一起攻擊，曝險金額差了將近 200 倍，這個差距完全是架構造成的嗎？
很大程度上是的。Aave 採用的是共享資金池架構——所有存款人的資金匯集在同一個大池子裡，任何被協議接受的抵押資產一旦出問題,壞帳由整個資金池按比例承擔。這個設計的好處是資金效率高、市場深度夠,但代價是風險會在整個協議內部互相傳染:一個跟你完全無關的資產出問題,你的資金一樣會被鎖住、你的借款利率一樣會飆升。
Morpho 用的是獨立金庫架構,每個金庫是彼此隔離的市場,一個金庫接受的抵押資產出問題,虧損只會侷限在那個特定金庫裡,不會蔓延到其他跟它無關的金庫。這次事件裡 Morpho 剛好有一個金庫也接受了同樣出問題的資產,所以確實承受了約 100 萬美元的曝險,但因為架構隔離,這筆損失沒有波及 Morpho 上其他任何一個金庫的存款人。這個對比清楚示範了:同樣的抵押品風險事件,在不同的協議架構下,造成的實際傷害範圍可以差非常多個量級——架構設計本身,就是一種風險管理工具。
我完全沒有碰過某個出問題的資產，卻可能因為同一個協議上其他人的損失而受害，我該怎麼在事前評估這種風險？
第一步是搞清楚你使用的借貸協議,是共享資金池架構還是獨立金庫架構。如果是共享資金池,代表你的風險曝險不只來自你自己選擇的資產,還包括這個資金池接受的所有其他抵押品——你等於間接承擔了協議治理過去核准過的每一個資產決策,即使你自己從未主動選擇承擔那些風險。
第二步是留意協議治理最近有沒有出現「關鍵角色集體離開」這類結構性變化——不需要證明這會直接導致下一次攻擊,但一個原本仰賴多方獨立監督的系統,如果監督者接連淡出,代表這套系統實際運作的嚴謹程度,可能已經偏離了你當初評估這個協議時所根據的那個版本。第三步,如果你發現自己已經在一個共享資金池架構的協議裡有部位,可以定期關注協議治理論壇裡新增加的高風險抵押品提案——不是因為你有能力否決這些提案,而是因為提前知道池子裡新加入了什麼資產,能讓你自己決定要不要在風險實際發生前先行退出。
2026 年 4 月 18 日，北韓駭客組織 Lazarus Group 從流動性再質押協議 Kelp DAO 的跨鏈橋盜走約 2.92 億美元的代幣，存入 DeFi 最大借貸協議 Aave 當抵押品，借出約 1.9 億美元的 WETH。這起事件的技術根源，不是 Aave 的程式碼有漏洞，不是 LayerZero 的核心協議有問題，甚至不是 Kelp 的智能合約被攻破——攻擊者利用的是 Kelp 跨鏈橋一個從未被 Aave 風險框架評估過的設定決策：Kelp 只用單一驗證者確認跨鏈轉帳。這起事件真正值得記住的，不是攻擊手法本身，而是它揭露的一個更根本的事實：Aave 是業界審計紀錄最完整的協議之一，卻仍然被這個漏洞擊中，因為審計檢查的是協議自己的程式碼，檢查不到的是協議選擇信任的抵押品資產，背後藏著哪些協議自己從未評估過的風險。
2026 年 1 月，一項 Aave 治理提案為 rsETH 開通 e-mode，讓用戶能拿 rsETH 當抵押品借出 WETH，抵押率上限設在 93%——這個決定的動機很直白：其他協議上的類似流動性再質押代幣已經有相近的參數，這項提案明確瞄準要吸引 10 億美元的新增 rsETH 資金流入。提案通過的過程裡，沒有人對 Kelp 的跨鏈橋做風險評估。當攻擊者帶著 2.92 億美元的贓款出現時，這個 93% 的抵押率讓他們每拿 100 美元的贓款，就能借出 93 美元的 WETH——相較之下，同時期其他借貸協議 SparkLend 跟 Fluid 給 rsETH 設定的抵押率分別只有 72% 跟 75%，明顯保守得多。這場把抵押率開到業界最高的治理投票，是在漏洞被利用的整整三個月前就通過的。
更值得留意的是治理生態本身的變化。負責 Aave 核心技術基礎設施的 BGD Labs，在 4 月 1 日離職，原因是跟團隊對一項重大架構升級的時程有分歧；負責協調治理、把 Aave 自家穩定幣規模從 3,500 萬美元拉抬到 5.27 億美元的 Aave Chan Initiative，因為對 Aave Labs 掌控治理代幣分配的方式有疑慮而離開；而自 2022 年 11 月起、在任期間讓 Aave 所有市場都零重大壞帳的專業風險服務商 Chaos Labs，則在 4 月 6 日、也就是事發前僅 12 天，以預算不足與風險管理優先順序分歧為由離職。三個原本互相獨立、共同構成 Aave 治理當責層的組織，全部在攻擊發生前的幾週內相繼離開。
這起事件最違反直覺的地方，在於它的傷害範圍遠遠超出了直接涉入 rsETH 的用戶。事件發生後 48 小時內，Aave 上 USDC 跟 USDT 的借款利率從約 3.5% 飆升到 14%，且持續維持在高檔——這不是任何人開會決定的結果，而是 Aave 的利率演算法在資金池使用率被推向 100% 後自動反應的結果。一個完全沒有碰過 rsETH、只是拿比特幣或 Ethereum 借出穩定幣的機構，眼睜睜看著自己的借款成本在毫無預警、毫無申訴管道的情況下翻了四倍。這是因為 Aave 用的是共享資金池架構：只要有任何一種被接受的抵押品出問題，壞帳會由整個資金池按比例承擔，不管你有沒有對出問題的那個資產有任何曝險。對比之下，採用獨立金庫架構的 Morpho，面對同一起攻擊、同一個問題資產，曝險僅約 100 萬美元，遠低於 Aave 的約 1.96 億美元——這個懸殊差距不是誰的風控做得比較好，而是架構本身的設計差異。
Aave 是 DeFi 借貸協議裡審計紀錄數一數二完整的協議，這起事件也完全沒有動用任何程式碼漏洞。這正是這起事件最該被記住的教訓：審計是用來驗證「這段程式碼是否會照著設計運作」，但它沒有辦法驗證「治理投票通過的參數設定是否合理」、「被接受的抵押資產背後的基礎設施是否安全」、「負責監督風險的團隊會不會剛好在關鍵時刻集體離職」。這些問題不屬於程式碼審計的範疇，卻同樣能造成程式碼審計原本要防範的那種災難性損失。