根据 DefiLlama 数据，截至撰稿时，Aave 存款规模为 181 亿美元，较 4 月 Kelp 黑客事件发生前一天的 261 亿美元减少约 31%。
本次事件中，Aave 的合约代码本身并未出现任何漏洞，出现问题的是其借贷背后的抵押资产，而且这些抵押物的风险超出了借贷合约能够监测的范围。
Aave 存款总量（TVL）。来源：DefiLlama Kelp 黑客事件究竟破坏了什么？
4 月 18 日，攻击者的目标主要集中在 Kelp DAO 跨链桥的消息校验流程，而非其借贷业务本身。Kelp 是一家流动性质押协议，其对应凭证代币为 rsETH。
$AAVE dropped 20% today after the KelpDAO rsETH exploit.
— BeInCrypto (@beincrypto) April 19, 2026
The exploit triggered a wave of whale selling and a record spike in $ETH utilization across the lending protocol.
Th @aave team told BeInCrypto that the situation is contained to the V3 ETH market only, with V4 completely… pic.twitter.com/LvDCDHCdmN
持有 rsETH 的用户实际上并非持有以太坊现货，而是对已质押以太坊的一份索取权，并且这项权利首先是通过跨链桥传递的。此次攻击中，攻击者操控并污染了该跨链桥信任的数据源，伪造了一条虚假消息，从而释放了 116 500 枚 rsETH，价值约 2.92 亿美元，占代币总供应量近 18%，却没有真实资产作为支撑。
安全公司 Halborn 追踪指出，事件根源在于单点验证与被攻陷的数据节点。Chainalysis 则将该攻击事件与朝鲜 Lazarus 黑客组织进行关联。此次事件未涉及智能合约漏洞。
这些无实际资产支撑的代币随后流入借贷市场。攻击者向 Aave 存入 89 567 枚 rsETH，并以此为抵押借出了约 1.93 亿美元。
Aave 在一小时内紧急冻结了 11 个市场的 rsETH，随后又于两天后冻结了 WETH。BeInCrypto 于当晚第一时间提醒 Aave WETH 存款用户尽快撤出资金，仅数小时后相关资金池就被完全借满。
“在整个事件过程中，Aave 智能合约未曾遭到入侵。协议各项核心逻辑，包括存款、偿还与清算机制，均按设计正常运作。”
Aave 事件的官方报告指出，如果将损失平均分摊，平台的坏账规模为 1.237 亿美元。若单独计算跨链的 rsETH，这一数字则上升至 2.301 亿美元。
借款人所信任的机制
多家竞争协议联合出手，填补了部分资金缺口。联合资助的恢复计划已筹集约 69,570 枚 $ETH，接近 75,081 枚 $ETH 的窟窿。
Arbitrum 安全委员会冻结了其中 30,765 枚 $ETH，随后其 DAO 于 6 月将这笔资产释放给了 Aave。然而，这部分资金依然面临美国法院的冻结令，相关禁令由针对朝鲜持有判决的债权人所申请，尚未解除。
尽管账面数据有所修复，真实存款用户的信心恢复却更为缓慢。截至 6 月底，Aave 平台总锁仓规模达 125 亿美元，本周升至 181 亿美元。$AAVE 现价约为 124 美元，日内跌幅 3.8%。
AAVE 价格表现。数据来源：BeInCrypto 类似结构同样存在于其他资产中，包括包裹比特币（Wrapped Bitcoin）和各类凭证型代币（Receipt Tokens），它们本质上在借款方与底层资产之间增加了信任门槛。
在将这些资产用于抵押前，有三项关键点值得核查：
该资产的跨链桥操作需多少独立方共同签批 当前借贷市场是独立核算，还是会与其他市场共同承担损失 所用抵押品的权益，是否建立在二级或更多层的债权之上本轮 4 月份事件对无法取回资产的用户来说，这些问题一个都没能获得答案，也充分展现了事前不加以甄别的风险代价。
在 cn.beincrypto.com 阅读由 Lockridge Okoth 撰写的原始文章 Aave 遭 Kelp 攻击后损失 80 亿美元