4 月 24 日，以太坊生态迎来一场紧急的流动性救援行动。算力计算市场 Golem 宣布从两个金库合计拨付 1,000 枚 ETH，正式加入由 Aave 主导的 rsETH 联合救助计划。这一行动标志着 DeFi 社区在面对重大安全漏洞时，开始尝试跨协议协同应对。午方 AI 获悉，流动性再质押协议 EtherFi 已提议向专项救助池注入 5,000 枚 ETH，而流动性质押龙头 Lido Finance 也在治理论坛挂出提案，拟提供最多 2,500 枚 stETH。加上 Aave 创始人 Stani Kulechov 以个人身份承诺的 5,000 枚 ETH，这一自称「DeFi United」的联合救助行动，已披露的出资规模定格在 1.35 万枚 ETH 外加 2,500 枚 stETH。

这一系列紧急出资的导火索是一周前爆发的 KelpDAO 被盗案。据 LayerZero 官方归因，朝鲜黑客组织 Lazarus 的子分支 TraderTraitor 在 4 月 18 日入侵 LayerZero DVN 的下游 RPC 节点，通过伪造跨链消息，从 KelpDAO 的 1/1 DVN 桥合约中盗出 116,500 枚 rsETH，价值约 2.92 亿美元，占 rsETH 流通量约 18%。这一事件直接导致 Aave 协议内大量抵押品脱锚，引发了严重的流动性危机。午方 AI 了解到，此次攻击不仅涉及巨额资产损失，更暴露了跨链桥在验证机制上的深层脆弱性，迫使整个生态重新审视跨链资产的安全性。

深入分析四家机构的承诺细节会发现，资金到位的确定性存在显著差异。Stani 和 EtherFi 基金会是最干脆的两家，直接从各自国库抽 5,000 枚 ETH，无前置条件。Golem 的 1,000 枚 ETH 来自 Foundation 和 Factory 两个金库的合计拨付，据其声明，资金已与 Aave 团队对齐使用路径。相比之下，Lido 的 2,500 枚 stETH 情况则略复杂，这是一份治理提案，且带有「整体救助方案完成资金覆盖」的前置条件，意味着只有在其他参与者凑足缺口时，Lido 的这份钱才会出。四份承诺按事发时 ETH 现货均价 2,400 美元折算，合计约 3,840 万美元。

然而，仅靠这 3,840 万美元远不足以覆盖 Aave 面临的潜在坏账。据 Aave 官方事件报告，坏账估算的区间下沿 1.24 亿美元，上沿 2.30 亿美元。光看下沿，3,840 万美元也就刚过缺口的三成。但 DeFi United 的注资并非 Aave 唯一的缓冲层。4 月 21 日，Arbitrum 安全理事会在未掌握黑客私钥的前提下，临时升级 Inbox 桥合约，以黑客名义发出跨链指令，把黑客地址上的 30,766 枚 ETH 全数转入冻结地址，价值约 7,150 万美元。这笔 ETH 原本就是攻击者从 Aave Arbitrum 市场借出的真实 WETH，若后续按 Aave 治理提议返还，将直接销毁 36,166.8 枚对应的 rsETH 抵押，据 Aave 治理论坛测算，全网 unbacked rsETH 将从 112,204 枚降到 76,037 枚，脱锚率从 15.12% 压到 10.77%。

第三层防线是 Aave 自己的 Umbrella 保险池。据 LlamaRisk 事件报告，Ethereum Core 的 WETH Umbrella 模块目前质押规模为 23,507.63 枚 WETH，按事发时价格约 5,406 万美元。这是 Aave 在 2025 年底升级出来的新一代保险机制，替代了原来的 Safety Module，设计初衷就是在坏账真正落到存款人头上之前先做一刀自动 slash。三层加起来是 1.63 亿美元。对比低情景 1.24 亿，刚好把坑填平还能多出 3,980 万的富余。对比高情景 2.30 亿，仍然短 6,660 万。同一笔攻击，Aave 之所以模拟两套相差近 1 亿美元的情景，核心在于「112,204 枚凭空增发出来的 rsETH，损失由谁承担」这件事本身就没有唯一答案。

Aave 风控服务商 LlamaRisk 在 4 月 20 日发布的事件报告里把选项摊开给出了两条路。第一条是「均摊路线」，所有 rsETH 持有者按现有供应量分摊损失，得出 15.12% 的统一折价率。这种情形下，Aave 的坏账主要压在 Ethereum Core 市场上，据 LlamaRisk 测算，其 WETH 市场将吸收 9,180 万美元坏账，Arbitrum、Base、Linea、Mantle 等 L2 再分摊约 3,190 万，合计 1.24 亿。第二条是「隔离路线」，假设主网 rsETH 的抵押支撑完好无损，全部损失隔离在 L2 映射版的 rsETH 上。隔离路线下，L2 rsETH 的折价率直接跳到 73.54%，Ethereum Core 完好，但 Mantle 的 WETH 市场会出现 71.45% 的储备缺口（7,770 万美元），Arbitrum 跟上 26.67%（8,840 万美元），其他 L2 再凑 6,400 万，合计 2.30 亿。

两条路线下 Aave 坏账相差的 1.06 亿，本质上是「代价由谁承担」的转移。按 Aave 治理论坛的讨论，选均摊意味着 Ethereum Core 的存款人要一起吃 9,180 万美元的损失。选隔离则完全保住主网，但 Mantle 和 Arbitrum 两条 L2 上的 WETH 存款人要承担大部分。Aave 目前的姿态明显偏向后者，4 月 20 日更新声明里，官方强调「以太坊主网上的 rsETH 是有着充足支撑的」，据 LlamaRisk 报告，最终走哪条路线要看 KelpDAO 如何更新 rsETH 的 LRT 预言机报价和跨链账本口径，「在 Aave 控制范围之外」。

回到读者最关心的问题，存在 Aave 里的钱在救助后能否提取？答案是，DeFi United 那 3,840 万美元并不是分发给 Aave 存款人的「理赔金」，救助池的资金会被注入 Kelp 的 rsETH 抵押补位，目标是恢复 rsETH 的锚定价格。只要 rsETH 有公允价值，Aave 就能对攻击者的 89,567 枚抵押仓位做清算，清算收入偿还那 82,650 枚 WETH 借款，WETH 池利用率从 100% 开始回落，存款人才能恢复提款。据 Aave 事件报告，Ethereum、Arbitrum、Base、Linea、Mantle 五条链的 WETH 储备目前全部是 100% 利用率，每条链的闲置 WETH 余额低于 20 美元。这就是眼下普通存款人看到「提款失败」的原因，不是协议跑路，而是钱全部被借出去了，借方是黑客，偿还要等 rsETH 抵押复活。

若救助不足，Aave 将启动 Umbrella 瀑布机制。据 Aave Umbrella 文档，触发顺序从 aWETH 的 Umbrella 质押者自动被 slash 开始，然后轮到普通 WETH 存款人按比例承担 haircut，再往下是 stkAAVE 持有者（需治理投票激活），最后是 DAO 金库兜底。如果最终走均摊路线，低情景的 1.24 亿坏账主要压在 Ethereum Core 上的 9,180 万，叠加各方注资，防线绰绰有余，存款人大概率能拿回全部本金。如果最终走隔离路线，Ethereum Core 完全无损，但 Mantle 和 Arbitrum 上的 WETH 存款人面临缺口，相比这两条链的坏账 1.66 亿，仍差 5,700 万，缺口最终可能按比例落到存款人头上。DeFi United 的 3,840 万美元加上 Aave 自己囤的 5,406 万 Umbrella，再加 Arbitrum 扮演「黑客之名」追回的 7,150 万 ETH，凑出了一条 1.63 亿美元的合围线，刚够覆盖 Aave 自己给出的低情景坏账。剩下那部分要看 KelpDAO 会选哪条分账路线，救的是资产，至于谁的本金被动了，要一两周后才知道。