Web3セキュリティインシデント週次まとめ｜2026年4月13日～4月19日

主要洞察：

• 2026年4月13日至4月19日期间，在以太坊、Unichain、Arbitrum和NEAR等多个链上检测到四起攻击事件，估计总损失约为3.1亿美元。
• 攻击手段包括针对LayerZero DVN的RPC基础设施投毒、MMR证明伪造、保险基金中的有符号整数滥用以及保证金交易协议中的循环掉期路径利用。
• KelpDAO事件（2.9亿美元）表明，桥梁安全不仅限于智能合约，还延伸到链下验证基础设施。跨越五条链的WETH冻结以及Arbitrum的强制状态转换，进一步暴露了可组合性如何放大单点故障，以及“去中心化”系统的实际信任边界在哪里。

预计阅读时间： 18分钟

在过去一周（2026/04/13 - 2026/04/19），BlockSec检测并分析了四起攻击事件，估计总损失约为3.1亿美元。下表总结了这些事件，详细分析将在后续小节中提供。

本周亮点：KelpDAO

此事件之所以被重点关注，是因为其新颖的基础设施级别攻击向量（针对唯一DVN的RPC投毒，而非智能合约漏洞利用）、通过DeFi可组合性引发的多链级联影响，以及Arbitrum为追回被盗资金而强制执行状态转换所引发的治理问题。

2026年4月18日，KelpDAO的rsETH LayerZero OFT桥被利用，损失约2.9亿美元。此攻击被归因于一个国家支持的组织，很可能是朝鲜的Lazarus集团[1]。根本原因是KelpDAO的1对1 DVN配置，将跨链消息验证简化为单一故障点。攻击者毒化了LayerZero Labs DVN信任的RPC基础设施，迫使其证明一条伪造的跨链消息，导致以太坊上释放了116,500 rsETH，而在Unichain上没有任何相应的源端事件。

背景

LayerZero是一个构建在模块化安全架构上的跨链消息协议。其核心是，跨链消息的完整性由去中心化验证器网络（DVN）强制执行，DVN是链下实体，负责独立验证源链上发送的消息在目标链上执行之前确实发生过。每个部署在LayerZero上的应用都配置了自己的DVN设置，包括信任哪些DVN、需要多少个DVN以及必须达到的共识阈值。这种模块化使应用程序能够完全控制其安全模型，但也承担全部责任：协议本身无法弥补薄弱的配置。

KelpDAO的rsETH作为OFT（Omnichain Fungible Token）部署在LayerZero上，其桥接路由连接Unichain（源链）和以太坊主网（目标链）。OFT标准允许在源链上销毁代币，并在目标链上解锁，跨链消息是释放的唯一授权。以太坊端适配器（0x85d456...e98ef3）负责在验证并传递了有效的跨链消息后，将rsETH释放给接收者。至关重要的是，KelpDAO将此路径配置为1对1 DVN设置，指定LayerZero Labs为唯一验证者。这意味着单个DVN的认证足以授权任何代币释放，无需二次确认。

为了执行其验证职责，LayerZero Labs DVN查询多个RPC节点，以确认跨链发送事件是否实际发生在源链上。这些RPC节点包括自营基础设施和外部提供商，DVN依赖它们的集体响应后再进行认证签名。此过程的完整性取决于大多数查询节点返回真实数据的假设。

漏洞分析

该漏洞是一个在基础设施和配置层面发生的系统性故障，由三个叠加的弱点组成。

首先，KelpDAO的1对1 DVN配置消除了验证层的所有冗余。LayerZero推荐的安全措施明确要求使用独立的验证器进行多DVN设置，这样任何单个DVN都无法单方面授权消息。仅依赖LayerZero Labs DVN，KelpDAO确保了该单一验证器的任何妥协都足以授权任意代币释放。

其次，DVN的故障转移机制将验证查询路由到任何仍然可访问的RPC节点。该设计假设节点不可用是意外的，而不是故意的。然而，这创造了一种情况，即攻击者不需要妥协所有数据源：通过DDoS攻击使健康节点离线，并准备好被投毒的节点作为唯一可访问的替代方案，攻击者就可以完全控制DVN接收到的数据。

第三，替换RPC节点上的op-geth可执行文件需要对底层服务器进行OS级别的访问。确切的初始访问向量尚未披露，但妥协两个独立集群上的节点可能表明控制这些服务器的访问方式存在共享的弱点。

总而言之，这三个条件构成了一个完整的攻击链：第一个条件确保了没有独立的DVN可以交叉检查认证的消息，第二个条件确保了攻击者可以完全控制唯一DVN接收到的数据，第三个条件提供了最初的立足点，使得数据篡改成为可能。任何单一的弱点本身都不足以构成攻击。如果没有1对1配置，第二个查询独立基础设施的DVN将拒绝伪造的消息。如果没有故障转移行为，健康节点将比被投毒的节点获得多数票。如果没有服务器妥协，攻击者根本无法注入伪造的数据。

攻击分析

以下分析基于交易0x1ae232...4222和LayerZero Labs的官方事件声明。

• 步骤1：攻击者获取了LayerZero Labs DVN信任的特定RPC节点列表。此列表构成了一个高价值情报目标，因为了解确切的节点使攻击者能够计划一次有针对性的操作，而不是一次广泛的基础设施攻击。

• 步骤2：攻击者获得了对两个RPC节点的OS级别写入访问权限，并用恶意版本替换了运行中的op-geth二进制文件。这两个节点被描述为运行在独立的集群上，彼此之间没有直接连接，这表明初始访问向量涉及共享的上游依赖（例如，被攻破的部署凭据、CI/CD管道或对同时拥有两个节点访问权限的操作员进行社交工程）。LayerZero Labs未披露确切的初始访问方法。此步骤是所有后续数据操作的先决条件。

• 步骤3：恶意op-geth二进制文件实现了有针对性的响应逻辑：它仅向DVN的IP地址返回伪造的交易数据，而向所有其他请求者（包括LayerZero自己的监控基础设施、区块浏览器和扫描服务）提供真实的区块链状态。这种选择性的投毒使得攻击对所有现有可观测系统都不可见；从外部视角看，源链表现正常。

• 步骤4：DVN的内部共识要求在被投毒和未被妥协的RPC节点之间达成一致。为了解决这个冲突，攻击者在攻击窗口（太平洋时间上午10:20至11:40）期间对剩余的健康节点进行了DDoS攻击，触发了DVN的故障转移逻辑，迫使其仅依赖被投毒的基础设施。此步骤是必要的，因为否则健康节点会返回与伪造响应相矛盾的真实数据。

• 步骤5：当DVN现在只接收攻击者控制的数据时，一个伪造的LayerZero跨链消息被呈现为有效。DVN在以太坊目标端点上认证了nonce 308，该nonce在Unichain上没有相应的出站事件（源端点仍报告最大出站nonce为307，已确认）。

• 步骤6：以太坊端的rsETH适配器在收到有效认证的消息后，将116,500 rsETH释放给了攻击者的接收地址（0x8b1b6c...0d3b），该地址已通过Tornado Cash预先充值数小时。被盗代币立即分散到七个分支钱包，并通过Aave抵押品头寸、直接ETH掉期和重新桥接到Arbitrum进行了清算，最终收益合并到以太坊上的0x5d3919...7ccc和Arbitrum上的相应收集器。

• 步骤7：恶意二进制文件在完成后执行了自毁例程，删除了自身以及所有本地日志和配置文件。这严重阻碍了事件后法证恢复，并展示了攻击者操作的复杂性。

• 步骤8：攻击者随后试图利用同一路径进行额外的40,000 rsETH（约9500万美元）的攻击，但在KelpDAO检测到异常并暂停了以太坊主网和L2上的所有相关合约后被阻止[2]。

更广泛的影响

损失远不止最初的2.9亿美元桥梁被盗。攻击者将约89,567 rsETH（约2.21亿美元）存入Aave的多个市场，并在E-Mode下以93%的LTV借入了WETH[4]。由于Aave无法区分合法桥接的rsETH和通过伪造消息释放的代币，因此“被毒化的”抵押品被视为完全有效。由此产生的WETH储备冻结传播到以太坊、Arbitrum、Base、Mantle和Linea，影响了根本没有接触过rsETH的用户。这种级联传播，从单一桥梁配置缺陷到多链借贷市场中断，说明了DeFi可组合性如何放大了单点故障的影响范围和成本。

事后同样引发了关于去中心化实际运行情况的重要问题。LayerZero Labs宣布其DVN将不再为使用1对1配置的应用程序签名消息[1]，这意味着协议级别的去中心化本身无法弥补应用程序级别的配置弱点。

在链级别，Arbitrum安全委员会执行了一项紧急操作，冻结了攻击者在Arbitrum One上持有的30,766 ETH。如BlockSec分析[5]所示，这是通过链级强制状态转换实现的：安全委员会暂时升级了以太坊收件箱合约，注入了一条冒充攻击者地址的未签名L1到L2消息，并恢复了原始实现，所有这些操作都不需要持有者的签名[3]。

这项行动是治理定义的紧急权力的一项合法行使，公开进行并与执法部门协调。但它也表明，L2链在设计上保留了中心化的干预能力：原则上，Arbitrum One上的任何资产都可以通过安全委员会通过相同机制进行转移。正如此次事件在各个层面所展示的，一个系统的理论信任模型与其实际信任边界之间的差距，是风险最为重大之处。

结论

此事件表明，桥梁安全不能仅仅简化为协议的正确性。LayerZero协议本身按照设计运行；漏洞完全存在于其上方的操作层面。核心教训是，链下验证基础设施是信任边界的一部分，其安全态势必须与其保护的价值相匹配。

三个缓解措施中的任何一个单独都能阻止此事件发生：

• 多DVN配置：要求多个独立DVN之间达成共识，将导致单个DVN被攻破不足以授权消息，无论该DVN被欺骗到何种程度。

• 考虑故障转移的RPC选择：在活动验证窗口期间，可访问节点的突然下降应被视为潜在的攻击信号，而不是常规的可用性事件。DVN实现应停止或发出警报，而不是继续使用减少的节点集。

• RPC基础设施强化：在生产RPC节点上替换正在运行的可执行文件的能力，表明底层服务器上的访问控制不足。DVN依赖的用于源链事实真相的基础设施，应与其自身DVN签名实例相同的安全边界。

更广泛地说，任何依赖链下认证的桥梁或跨链协议，都应不仅审计智能合约层，还要审计从源链事件到目标链执行的完整数据管道。当数亿美元依赖RPC基础设施时，RPC基础设施默认可信的假设已不再成立。

参考资料

[1] LayerZero Labs, "KelpDAO Incident Statement," April 20, 2026. https://x.com/LayerZero_Core/status/2046081551574983137

[2] KelpDAO, "April 18 Incident: Additional Context," April 21, 2026. https://x.com/KelpDAO/status/2046332070277091807

[3] Arbitrum, "Security Council Emergency Action," April 21, 2026. https://x.com/arbitrum/status/2046435443680346189

[4] LlamaRisk, "rsETH Incident Report," April 20, 2026. https://governance.aave.com/t/rseth-incident-report-april-20-2026/24580

[5] BlockSec, "Arbitrum Security Council Freeze Mechanism Analysis," April 21, 2026. https://x.com/Phalcon_xyz/status/2046467830498173088

本周更多事件

Hyperbridge

2026年4月13日，Hyperbridge，一个以太坊上的跨链消息桥，因MMR（Merkle Mountain Range）证明验证逻辑中缺少输入验证而被利用，损失约24.2万美元。MerkleMountainRange.VerifyProof()函数未强制执行leaf_index < leafCount，允许攻击者伪造跨链证明并执行特权操作，包括铸造1,000,000,000 DOT代币。

背景

Hyperbridge使用以太坊端验证器和分派器模型进行跨链消息。在以太坊上，HandlerV1合约根据提供的证明和存储的overlayRoot进行验证，如果证明被接受，它会将消息分派到目标模块，例如TokenGateway合约。

TokenGateway合约是一个特权的资产管理模块。除了正常的资产桥接外，它还支持治理风格的操作，如资产创建、注销和管理员管理。对于作为ERC6160Ext20实现的桥接资产，管理员可以通过调用changeAdmin()函数直接转移铸币权，然后新管理员可以通过mint()函数铸造任意数量的供应。

这意味着整个资产桥的安全取决于HandlerV1中证明验证路径的正确性。如果伪造的消息能够通过验证，下游模块将把攻击者控制的载荷视为真实跨链指令。

漏洞分析

核心问题在于HandlerV1合约（0x6c84ed...6d64）中的MMR证明验证流程。入口函数handlePostRequests()首先根据攻击者提供的输入构建MmrLeaf(leaf.kIndex, leaf.index, commitment)。然后，调用MerkleMountainRange.VerifyProof()进行证明验证。

MerkleMountainRange.VerifyProof(root, request.proof.multiproof, leaves, request.proof.leafCount)

然而，VerifyProof()仅检查root == CalculateRoot(proof, leaves, mmrSize)，而不验证每个leaf.index是否在范围内（即leaf.index < leafCount）。通过选择leafCount = 1和leaf_index = 1，攻击者导致CalculateRoot()跳过了将伪造的请求承诺折叠到计算出的根中，直接返回峰值根。这破坏了消息与证明的绑定，并允许任意载荷通过历史overlayRoot进行验证。

攻击分析

以下分析基于交易0x240aeb...1109 [1]。

• 步骤1：攻击者EOA 0xC513...F8E7在同一交易中部署了辅助合约0x518A...8f26和0x31a1...ca9AB。

• 步骤2：辅助合约0x31a1...ca9AB通过HandlerV1中的脆弱验证路径提交了一份伪造的请求。由于VerifyProof()未拒绝越界leaf_index，伪造的请求承诺被从根计算中省略，但证明仍与历史overlayRoot匹配。

• 步骤3：伪造的消息被接受后，HandlerV1将其分派给TokenGateway，执行了ChangeAssetAdmin操作。这改变了DOT代币的管理员为攻击者控制的辅助合约0x31a1...ca9AB。

• 步骤4：辅助合约铸造了1,000,000,000e18 DOT代币。

• 步骤5：辅助合约通过Odos Router V3将新铸造的DOT代币兑换为108.2 ETH。

• 步骤6：攻击者将108.2 ETH转移到其EOA账户。

结论

此事件是由于Hyperbridge MMR验证逻辑中存在不当的证明验证导致的。由于未强制执行leaf_index < leafCount，攻击者可以伪造一个承诺从未实际包含在计算出的根中的消息，但仍能通过历史状态根的验证。缓解措施应在证明验证之前强制执行严格的边界检查，例如leaf_index < leafCount。

参考资料

[1] BlockSec, "Hyperbridge Attack Analysis," April 13, 2026. https://x.com/Phalcon_xyz/status/2043601549893738970

Dango

2026年4月13日，Dango，一个作为Cosmos AppChain构建的永续期货DEX，由于缺少符号检查而被利用，损失约150万美元。replenish_insurance_fund()函数使用了is_non_zero()而不是is_positive()来验证输入金额，允许攻击者提供负的UsdValue并将其从保险基金中提取到其保证金头寸。

背景

Dango是一个作为Cosmos AppChain构建的永续期货DEX。用户将USDC作为抵押品存入期货合约，并通过链上中心限价订单簿（CLOB）对BTC、ETH和SOL等资产开立杠杆头寸。每个用户的抵押品余额在期货合约内作为保证金账户进行跟踪。

为了保护流动性提供者（LP）免受坏账损失，该协议维护一个保险基金：一个存放在期货合约内的USDC储备，用于弥补清算头寸抵押品不足以完全偿还债务时的任何短缺。如果没有它，这种短缺将直接由LP承担。任何用户都可以从其期货账户向保险基金贡献保证金。

漏洞分析

根本原因在于合约0x90bc84...bea4f中的replenish_insurance_fund()函数，该函数未能拒绝负输入金额。该函数有两个保护措施，但两者都不能阻止负amount：

1. ensure!(amount.is_non_zero()) 检查金额不为零，但未检查是否为正。
2. ensure!(user_state.margin >= amount) 检查用户是否有足够的保证金，但任何正保证金都满足 >= 负数。

当两个守卫都通过后，函数执行user_state.margin.checked_sub_assign(amount)和state.insurance_fund.checked_add_assign(amount)。当amount为负数时，减去它会增加用户的保证金，加上它会减少保险基金，完全逆转了预期的资金流动。

攻击分析

交易：

第一阶段：

在Tx 1中，攻击者执行了以下步骤来耗尽Dango保险基金中的资产：

• 步骤1：攻击者通过存入1e6 USDC来开设保证金头寸。这是调用replenish_insurance_fund()的前提条件。

• 步骤2：攻击者使用负amount（即-1500000）调用replenish_insurance_fund()。由于验证不当，负amount被接受，将保险基金中的资产耗尽到攻击者的保证金头寸中。

• 步骤3：攻击者提取了保证金头寸中的所有资产，获得了1,500,000美元的USDC。

第二阶段：

在Tx 2-8中，攻击者调用transfer_remote()将盗取的资产桥接到以太坊。结果，410,000美元的USDC被桥接到以太坊。

结论

此攻击的本质是一个有符号整数类型在无符号上下文中未使用符号检查。UsdValue类型在设计上是有符号的（期货盈亏可以是负数），但保险基金捐赠路径仅对正贡献有意义。使用is_non_zero()而不是is_positive()留下了一个一词之差的漏洞，允许任何调用者反转资金流动方向，将USDC从保险基金中提取到其自身的保证金中。攻击者在一个交易中完成了整个攻击（存入1美元，提取150万美元，提取1,500,001美元），然后缓慢地将资金桥接出去。桥接速率限制是限制损失的唯一机制：如果没有它，全部约150万美元将不可挽回地桥接到以太坊。

Rhea Finance

2026年4月16日，Rhea Finance旗下的NEAR上的借贷和保证金交易协议Burrowland，由于其保证金交易模块中的业务逻辑缺陷，被利用了约1840万美元。在开立杠杆头寸时，该协议依赖verify_token_out()来验证预期的掉期输出，然后接受该头寸。然而，该函数错误地累加了中间掉期步骤产生的token_out金额，只要代币与最终输出代币匹配，就未能考虑到这些中间金额随后被用作token_in。攻击者部署了假代币和池，然后构建了一个循环掉期路径，夸大了感知输出金额并满足了偿付能力检查，从而耗尽了协议约1840万美元。

背景

Burrowland是NEAR上一个开源的借贷和保证金交易协议。除了标准的存贷功能外，它还支持保证金交易，并引入了三个关键变量来表示用户的杠杆头寸：token_c（抵押品）、token_d（债务资产）和token_p（头寸资产）。

对于多头头寸，用户将token_c作为抵押品存入，并以选定的杠杆（例如，5倍）借入token_d。然后，借入的token_d在DEX上兑换成token_p，即用户想要暴露的资产。在正常情况下，收到的token_p的价值大约等于花费的token_d的价值。协议代表用户保管token_p，同时将借入的token_d记录为债务。

对于空头头寸，用户同样存入token_c并借入token_d（他们想要做空的资产）并进行杠杆操作。借入的token_d被兑换成另一种资产（token_p），有效地对token_d进行做空。同样，在正常市场条件下，掉期应能保持价值。

在头寸的整个生命周期中，token_p仍然由协议保管，用户不能直接提取。头寸必须平仓才能实现利润或损失，届时token_p将被兑换回token_d以偿还债务。

开立保证金头寸由internal_margin_open_position()处理，该函数设置头寸参数并将借款分派给DEX。

在协议接受新头寸之前，它会依次评估四个保护措施：is_min_amount_out_reasonable()将用户声明的min_token_p_amount与Pyth预言机隐含的掉期输出进行交叉检查以限制滑点，is_open_position_liquidatable()验证预期的头寸和抵押品价值是否清除了清算线，is_open_position_forcecloseable()验证账户在纸面上是否尚未无力偿还，以及get_open_position_lr()强制执行token_d / token_c价值不超过最大杠杆率。

所有四个检查都使用min_token_p_amount作为头寸资产的价值，因为掉期尚未执行，没有实际收到的金额。因此，每个门槛的正确性都依赖于min_token_p_amount是否与DEX实际交付的金额绑定。verify_token_out()（通过RefV1TokenReceiverMessage::get_token_out()实现）正是要强制执行用户提交的掉期消息与此绑定。

漏洞分析

缺陷存在于verify_token_out()内部。该函数选择最后一个掉期步骤的token_out作为最终输出代币，然后累加每个产生相同代币的步骤的声明min_amount_out，假设每个这样的产生都贡献了最终输出。这对于真实的、多路径（分叉路由）的掉期是正确的，但它没有排除其token_out被作为下一步的token_in立即使用的步骤。往返路径，如A->B->A->B，会导致每个->B步骤都被计入总数，即使其输出在接下来的B->A步骤中被消耗，并且从未到达Burrowland。verify_token_out()批准的累加min_amount_out不再代表DEX实际返回的金额。

一旦绕过了verify_token_out()，膨胀的min_token_p_amount就会在internal_margin_open_position()中被视为事实。每一个旨在阻止不安全开仓的偿付能力检查都是基于一个虚假的数字进行的计算，因此头寸被接受，协议将借入的token_d分派给DEX，并附带循环掉期消息。

攻击分析

以下分析基于交易GcXEKm...fnFT。

第一阶段：假代币和池部署

攻击者部署了三个假代币并创建了五个假池。

1. 假代币ID：

   1. Fake1: 31623e1d98275d2b0db4f50e102f6bf40877c1345e06e4ca6727f58c89564bb2

   2. Fake2: 6a28e3d3c7af1415ec22c6264013e1138bab00f85b8b6055d882d7d46afdf49b

   3. Fake3: e081e03daf58f5bb04cf95a03017e58449b76e704f1974771d7e3bd52835b6e5

2. 假池ID：

   1. Zec-Fake1: 7509

   2. Fake1-Fake2: 7510

   3. USDC-Fake2: 7511

   4. Fake2-Fake3: 7512

   5. Fake3-USDC: 7513

第二阶段：保证金头寸开立

• 步骤1：攻击者利用Burrowland的保证金交易功能，以一个有真实价值的资产作为token_c，一个真实储备资产作为token_d，开立了一个杠杆头寸，并附加了一个交换消息，其动作列表是一个往返A->B->A->B，完全通过第一阶段攻击者控制的池路由。

• 步骤2：由于verify_token_out()对每个产生token_out与最终代币匹配的步骤累加min_amount_out，往返路径允许攻击者将声明的min_token_p_amount膨胀到任意值。

• 步骤3：膨胀的min_token_p_amount在internal_margin_open_position()中通过了所有开仓时的健康检查，因此头寸被接受，协议将借来的token_d分派给Ref-Finance。

• 步骤4：循环掉期只返回了极少量的token_p；on_open_trade_return()在没有任何重新检查的情况下就记录了它，导致头寸从创建之初就无力偿还。

• 步骤5：借来的token_d在攻击者控制的池中结算，攻击者通过remove_liquidity()提取了它。

• 步骤6：由于借款是杠杆化的，提取的token_d的价值高于存入的token_c。差额是每个周期的净利润，无法收回的债务将被强制清算为protocol_debts。攻击者重复了这个构建过程，直到耗尽了约1840万美元。

结论

此事件是由Burrowland保证金开仓路径中的业务逻辑缺陷引起的。RefV1TokenReceiverMessage::get_token_out()函数在输出匹配最终代币时错误地聚合了中间输出，假设这些金额将作为最终输出保留。然而，循环掉期路径打破了这一假设，因为这些代币可以在路径中被重复使用和消耗。因此，计算出的min_token_p_amount可以被人为地膨胀，导致后续所有偿付能力检查都依赖于一个不准确的值，并允许在伪造的健康状态下开立头寸，而无需验证实际收到的金额。

对于生产级别的保证金交易合约，开发者应：

• 将用户声明的min_amount_out视为未经验证的输入，并仅接受最后一个环节的min_amount_out，或明确拒绝重新消耗先前生成的token_out的掉期路径（在目标路径中无循环）。

• 将声明的滑点与预言机隐含的掉期输出的下限和上限进行绑定，以便攻击者不能单方面膨胀声明值来绕过偿付能力谓词。

关于BlockSec

BlockSec是一家全栈区块链安全与加密合规提供商。我们构建产品和服务，帮助客户在协议和平台的整个生命周期中进行代码审计（包括智能合约、区块链和钱包），实时拦截攻击，分析事件，追踪非法资金，并满足AML/CFT义务。

BlockSec已在顶级会议上发表了多篇区块链安全论文，报告了多起DeFi应用的零日攻击，阻止了多次黑客攻击挽回了超过2000万美元的损失，并保障了数十亿美元的加密货币。

• 官方网站：https://blocksec.com/

• 官方Twitter账号：https://twitter.com/BlockSecTeam

• 🔗 BlockSec审计服务 : 提交请求

• 🔗 Phalcon Security APP: 预约演示

• 🔗 Phalcon Compliance