DeFi 的 6.06 亿美元 4 月：为什么 2026 年最糟糕的黑客月并非源于智能合约
2026 年 4 月的前 18 天里，攻击者从十几个 DeFi 协议中窃取了超过 6.06 亿美元——在不到三周的时间里，这一数字是 2026 年整个第一季度被盗总额的 3.7 倍。这是自 2025 年 2 月 Bybit 遭到 15 亿美元黑客攻击以来，加密货币盗窃最严重的月份，也是自 2022 年跨链桥漏洞利用时代以来，对 DeFi 领域损害最严重的时期。
但与 2022 年不同的是，几乎没有任何损失是由智能合约漏洞造成的。
Kelp DAO 跨链桥资金被盗（2.92 亿美元）、Drift Protocol 的预言机和密钥泄露（2.85 亿美元），以及 3 月底 Resolv Labs 的 AWS 劫持事件（2500 万美元）都有一个更隐秘、更令人不安的共同点：它们都是由协议团队对其自身的信任假设进行更改而引发的——一个默认配置、一个预先签署的治理迁移、一个单一的云端密钥——这些都没有任何智能合约审计师有理由去标记。2026 年 4 月的故事不是关于 Solidity 的。它是一个关于代码、基础设施和治理之间操作缝隙的故事，以及当“升级”变成新的攻击面时会发生什么。
压缩在 18 天内的、比第一季度更糟糕的一个月
为了理解 4 月份的情况是多么异常，必须对数据进行拆解。
CertiK 将 2026 年第一季度的总损失定为约 5.01 亿美元，涉及 145 起事件——这本身就是一个偏高的数字，受 1 月份 3.7 亿美元网络钓鱼浪潮的影响而膨胀（当时是 11 个月以来最严重的月份）。2026 年 2 月回落至约 2650 万美元。3 月份通过 20 起独立事件回升至 5200 万美元，随着重复攻击模式在较小的 DeFi 场所出现，PeckShield 发出了“影子传染”的警告。
接着，2026 年 4 月 1 日——愚人节——以 Drift 漏洞利用拉开序幕，这是当时年度最大的黑客攻击。18 天后，Kelp DAO 的资金被盗案超过了它。仅这两起事件加起来就超过了 5.77 亿美元。再加上 Resolv 的余波、持续的基础设施泄露，以及在 PeckShield 和慢雾（SlowMist）追踪器中累积的十几个较小的 DeFi 违规行为，你在大约半个月的时间里就得到了 6.06 亿美元以上的损失。
作为参考，Chainalysis 报告称 2025 年全年的加密货币盗窃总额为 34 亿美元，其中大部分集中在 Bybit 漏洞中。如果 2026 年 4 月的速度持续下去，在年底前将轻松超过这一基准。威胁不仅在数量上有所增长，在集中度和攻击者的复杂程度方面也有所增长。
三起黑客攻击，三种截然不同的失败模式
使 4 月份的激增具有分析意义——而不仅仅是惨淡——的原因在于，这三起旗舰事件清晰地对应了三类不同的攻击。每一类都针对堆栈的不同层级，且每一类失败都是传统智能合约审计师不负责捕捉的。
第一类：跨链桥配置成为新的单点故障 (Kelp DAO, 2.92 亿美元)
4 月 18 日，一名攻击者从 Kelp DAO 由 LayerZero 支持的跨链桥中窃取了 116,500 rsETH——价值约 2.92 亿美元。该技术经 CoinDesk 和 LayerZero 自身取证团队重建，并非利用 Solidity 漏洞。它利用的是一种配置选择。
Kelp 的跨链桥运行的是单验证者（1-of-1 DVN）设置。攻击者入侵了为该验证者提供服务的两个 RPC 节点，使用协调的 DDoS 攻击迫使验证者进入故障转移状态，然后利用被入侵的节点证明虚假的跨链消息已经到达。跨链桥随即释放了 rsETH。LayerZero 将此操作归功于北朝鲜的拉撒路集团 （Lazarus Group）。
随之而来的是一场公开的指责大战，这本身就揭示了操作层变得多么脆弱。LayerZero 辩称 Kelp 曾被警告过要使用多验证者配置。Kelp 反驳称，1-of-1 DVN 模型是 LayerZero 自身关于新 OFT 集成部署文档中的默认设置。从技术上讲，这两个立场都是正确的。更深层次的问题在于，没有任何审计公司（如 CertiK、OpenZeppelin、Trail of Bits）会将“你的消息层 DVN 配置是否适合你打算跨链的价值”这一项审查产品化。这种对话存在于两个团队之间的 Slack 频道中，而不是在交付物中。
第二类：预先签署的治理授权作为潜在后门 (Drift, 2.85 亿美元)
4 月 1 日，Solana 最大的永续合约 DEX —— Drift Protocol 在 12 分钟内被盗走约 2.85 亿美元。该攻击链包含了三个矢量：
- 伪造的预言机标的。 攻击者铸造了约 7.5 亿个伪造的 “CarbonVote 代 币”（CVT），种子化了一个约 500 美元的极小 Raydium 池，并以接近 1 美元的价格进行虚假交易以制造价格历史。
- 预言机摄取。 随着时间的推移，这种虚构的价格被预言机馈送捕获，使 CVT 看起来像是一个合法的报价资产。
- 特权访问。 最具破坏性的是，攻击者之前通过社交工程诱骗了 Drift 的多签签署者预先签署了隐藏授权，而一个零时间锁（zero-timelock）的安全委员会迁移消除了协议最后的延迟防御。
在针对操纵后的预言机批准了膨胀的抵押品头寸后，攻击者在任何链上监控触发之前，跨 USDC、JLP 和其他储备执行了 31 次快速提现。
有两个细节值得强调。首先，Elliptic 和 TRM Labs 都将 Drift 事件归因于拉撒路集团，使其成为 18 天内第二起国家级 DeFi 入侵事件。其次，协议本身并没有失败——失败的是其治理管道。智能合约的表现完全符合配置。漏洞存在于社交工程以及移除时间锁的治理升级中。
Solana 基金会的反应耐人寻味：它在几天内宣布了安全改革，明确将该事件定义为协议与生态系统之间的协调问题，而非 Solana 协议漏洞。这种界定是正确的。这也是对边界已经发生转移的承认。
第 3 类：支撑 5 亿美元稳定币的单一云密钥（Resolv，2500 万美元）
3 月 22 日发生的 Resolv Labs 事件在涉及金额上是三者中最小的，但在结构上最具启发意义。一名攻击者获得了 Resolv Labs 的 AWS 密钥管理服务 (KMS) 环境的访问权限，利用具有特权的 SERVICE_ROLE 签名密钥，从约 10 万至 20 万美元的真实 USDC 存款中铸造了 8000 万枚无抵押的 USR 稳定币。总套现时间：17 分钟。
漏洞并不在于 Resolv 的智能合约——那些合约通过了审计。问题在于特权铸造角色是一个单一的外部拥有账户 (EOA)，而不是多签账户，且其密钥存放在单一的 AWS 账户之后。正如 Chainalysis 所言，“一个 TVL 达 5 亿美元的协议，其无限铸造权限竟由一个单一私钥掌控。” 最初的入侵途径是网络钓鱼、错误配置的 IAM 策略、受损的开发人员凭据，还是供应链攻击，目前仍未披露——而这种模糊性本身就是重点。该协议的攻击面就是其 DevOps 边界。
共同点：未经红队评审的升级
桥、预言机和云管理的签名密钥看起来是截然不同的攻击面。但 4 月份发生的每起事件都可以追溯到相同的操作模式：团队对配置、治理流程或基础设施选择进行了“升级”，从而改变了协议的信任假设，而没有任何评 审流程被设计用来捕获这些新的假设。
Kelp 升级到了 LayerZero 文档中记录但未针对 3 亿美元流动性进行压力测试的默认 DVN 设置。Drift 升级了其安全委员会治理以移除时间锁，消除了本可以暴露社交工程授权的延迟。Resolv 将单一密钥上的特权铸造角色作为常规云 DevOps 的一部分投入运营。
这正是为什么 OWASP 将“代理和可升级性漏洞” (SC10) 作为其 2026 年智能合约 Top 10 的全新条目。该框架终于跟上了攻击者的步伐。但 OWASP 规则不会自行运行；它们需要人工评审，而大多数协议仍然没有为此预留预算，因为主流的安全叙事仍然是“我们已经过审计”。
这一叙事现在已被证明是不足够的。2026 年发生的三起最大事件都通过了智能合约审计。漏洞出在别处。
130 亿美元的资金外流与模块化信任的真实成本
经济损失的影响远不止被盗资金。在 Kelp 被盗后的 48 小时内，Aave 的 TVL 下降了约 84.5 亿美元，更广泛的 DeFi 行业蒸发了 超过 132 亿 美元。AAVE 代币下跌了 16–20%。SparkLend、Fluid 和 Morpho 冻结了与 rsETH 相关的市场。SparkLend 或许从这次轮换中获益最多，随着用户寻找抵押资产结构更简单的场所，它捕获了约 6.68 亿美元的净新增 TVL。
传染背后的机制值得明确指出来。在排空 Kelp 的桥接资产后，攻击者将盗取的 rsETH 作为抵押品存入 Aave V3，并以此进行借贷——在单一的 rsETH/wrapped-ether 交易对中留下了约 1.96 亿美元的坏账。由于模块化 DeFi 的组合方式，任何接受 rsETH 作为抵押品的借贷平台都无法预见，其抵押品保障竟然处于一个具有 1-of-1 故障模式的单一验证者 LayerZero 桥中。当桥倒塌时，每个平台都同时暴露在同一个漏洞之下。
这是 DeFi 可组合性核心中的隐形耦合问题。每个协议都审计自己的合约。几乎没有协议会审计其接受作为抵押品的代币所属协议的操作假设。2026 年 4 月的连环事件让目前正在权衡 DeFi 集成的每家机构性机构的风险主管都清晰地看到了这一差距。
下一步：从审计转向持续运营评审
如果说对 4 月份的一系列事件有什么建设性的解读，那就是它使得下一阶段的 DeFi 安全投资变得不可避免。三种转变已经显现：
1. 桥接配置披露成为基本要求。 预计流动性再质押和跨链协议将开始发布（并更新）明确的 DVN 配置、回退规则和验证 者阈值，就像今天发布智能合约源代码一样。将配置作为一类披露产物早已势在必行。
2. 时间锁作为不可协商的治理默认设置。 行业分析 一致认为，治理迁移的实际最小延迟为 48 小时——这段时间足够监控系统检测到异常并让用户提款。Drift 的漏洞利用可能会在第三季度前使零时间锁迁移在专业上变得不可接受。
3. 特权密钥托管需在正式的多方计算 (MPC) 或 HSM 控制下。 Resolv 的单一 EOA 铸造角色现在成了行业的反面教材。持有铸造权限的协议应预期其 LP 和机构集成商默认要求门限签名方案或硬件隔离的密钥托管。
更深层次的结构性变化是，“审计”作为一次性交付物，正在被 持续运营评审 所取代——即对配置、治理变更和基础设施依赖项进行持续评估，这些因素的演变速度超过了任何年度审计频率所能追踪的范围。那些最快内化这一点的协议，将吸收目前正在观望、等待坏账结算的机构资金。
信任面已发生转移
2026 年 4 月并没有带来一种全新的攻击类型，更多的是证实了旧的防御体系正对着错误的边界。智能合约审计仍然必要，但远不足够。DeFi 的信任面已经向外扩展到了跨链桥配置、治理架构以及云管理密钥 —— 拥有国家级背景的对手凭借其耐心和资源，正在系统性地攻克这些边界。
那些能够赢得下一波机构集成的协议，是那些能以对待 Solidity 代码的严谨态度来对待其 运营 姿态的协议。那些仍然拿着一年前的审计 PDF 作为其安全说辞的团队，正日益成为下个月头条新闻的候选项。
BlockEden.xyz 为那些需要让依赖项成为其技术栈中最“乏味”部分的构建者提供企业级 RPC 和索引基础设施。探索我们的 API 市场，在为 2026 年所需的运营严谨性而设计的基石上进行构建。