同時關聯該項目與事件的快訊
Base 上一處加密資產金庫於 10 月 4 日被轉出約 1,783 枚 wstETH，損失超過 600 萬美元。鏈上記錄顯示，該金庫由一個 3-of-7 Safe 控制，七名簽署者身份尚未公開。安全機構稱，攻擊者將金庫中的 aBaswstETH 借出後，通過 Aave 兌換爲 wstETH。Base 鏈本身及 Aave 核心合約均未被指認爲遭到攻擊，具體授權漏洞仍未確認。（Bitcoin.com News）
Aave 創始人 Stani Kulechov 在 X 上發文表示，遭利用的是構建在 Aave v3 之上的第三方外部適配器，Aave v3 合約本身未受影響。涉事 Aave v3 Loop Safe 模塊的 FlashLoopAdapter 存在 open()和 close()訪問控制漏洞，攻擊者通過僞造 Safe 認證及任意模塊執行，從兩個 Safe 多籤地址竊取約 114.09 枚 ETH，並償還約 1300 枚 WETH 債務以解鎖抵押品。
慢霧發佈安全警報稱，Aave V3 Loop Safe Module 出現安全漏洞，攻擊者通過僞造 Safe 身份驗證並利用任意 Module 執行，從兩個 Safe 多籤錢包中竊取約 114.09 ETH。攻擊者通過僞造始終返回真值的 Safe 繞過認證，並利用可任意控制的 router 和 calldata 執行模塊交易，轉移 weETH 及 Aave 抵押品。攻擊者償還約 1300 枚 WETH 債務後解鎖抵押品。
Aave創始人Stani在X平臺表示，團隊正在與Lido共同關注MetaMask Staking基礎設施安全事件的進展。 Stani稱，截至目前，Aave市場尚未受到該事件影響，所有業務均運行正常。
慢霧安全團隊披露，跨鏈橋項目 Allbridge 於 2026 年 8 月 19 日遭遇攻擊，損失約 19 萬美元。值得注意的是，此次攻擊並非即時完成，攻擊者早在近一個月前便開始佈局，並通過僞造跨鏈消息繞過驗證機制。根據慢霧分析，攻擊者於 7 月 26 日在 Polygon 鏈上直接調用 Circle 的 MessageTransmitterV2.sendMessage 函數，構造了一條僞裝成 CCTP 風格的跨鏈消息，聲稱存在 100 萬枚 USDC 轉賬，但實際上並未發生任何 USDC 銷燬操作。隨後，Circle 按照正常流程爲該完整消息生成了有效驗證證明（attestation）。約 24 天后，8 月 19 日，攻擊者等待 Base Router 收到一筆真實 CCTP 存款、餘額增加至約 19.1 萬 USDC 後，僅 6 秒後發起攻擊。攻擊者利用此前僞造的消息和驗證證明調用 Allbridge 的 receiveCctpMessage 函數，由於項目缺少關鍵校驗，系統將虛假跨鏈消息誤認爲真實存款，並記錄了 100 萬 USDC 額度。隨後，攻擊者通過 Aave 閃電貸臨時借入約 80.9 萬 USDC，使 Router 餘額與僞造金額匹配，並利用內部信用記錄調用轉賬函數，最終轉出約 99.9 萬 USDC（扣除 0.1%手續費）。歸還閃電貸及費用後，攻擊者淨獲利約 18.98 萬美元。此次漏洞根源在於 Allbridge 未驗證跨鏈消息發送方和接收方身份，也未確認 USDC 是否真實鑄造及餘額是否實際增加，而是直接信任攻擊者構造的金額和消息哈希數據。慢霧強調，鏈上消息驗證並不等同於真實資產到賬。跨鏈協議不僅需要驗證消息真實性，還必須確保消息來源可信、接收方爲 Circle 官方 TokenMessengerV2，並在確認資產實際鑄造和餘額變化後才能進行資產記賬。此次事件再次凸顯跨鏈橋在消息驗證和資產結算環節中的安全風險。
渣打銀行（Standard Chartered）週一啓動對區塊鏈預言機項目 Chainlink 的覆蓋，預計 LINK 在 2030 年底達到 200 美元，較當前約 8 美元上漲約 25 倍。該行分階段目標爲今年底 13 美元，隨後爲 41 美元、82 美元和 133 美元。 渣打銀行預計鏈上代幣化資產規模 2028 年底達 4 萬億美元，DeFi 部署資產規模 2030 年達 2.7 萬億美元，較當前增長 37 倍。該行預計 Chainlink 費用同期增長約 25 倍，並假設代幣價格跟隨費用增長。 Chainlink 保障的總價值超過 1100 億美元，覆蓋全球 DeFi 依賴預言機價值約 70%，在以太坊佔比超過 80%；Aave V3 佔其中 44%。Swift、DTCC、Euroclear、摩根大通、萬事達、UBS、Fidelity 及 S&P Global 均被列爲使用其服務的機構。 Chainlink 在跨鏈互操作性方面仍落後於 LayerZero。自 4 月發生 2.92 億美元攻擊事件後，超過 70 億美元代幣價值已遷移至 Chainlink CCIP，第二季度交易量達 49 億美元，同比增 353%。風險包括機構代幣化放緩、試點未轉爲生產流程及技術故障影響信心。（Decrypt）
Aave 創始人 Stani Kulechov 回應有關 Kraken 母公司 Payward 有意收購 Aave 協議 15%股份的報道，稱 AAVE“不可能以 70%折價出售”。此前 CoinDesk 報道稱，Payward 正洽談以 3.85 億美元估值收購 Aave 15%股份。若按該估值計算，將僅相當於 AAVE 代幣完全稀釋估值的約 30%，明顯低於市場估值。Kulechov 在 X 上表示，相關報道表述並不準確。他並未完全否認 Aave Labs 可能出售部分持有的 AAVE 代幣，但稱 Aave Labs 確實擁有一定 AAVE 配置，且多個市場參與方曾討論通過直接或間接方式購買，或圍繞長期合作展開更深層次合作。Aave 是以太坊生態最大的去中心化借貸協議。Kulechov 稱，Aave 目前年化收入約 1.34 億美元，相關收入流向 Aave DAO。此前他還曾提出治理方案，將 Aave Labs、協議和產品收入重定向至 Aave DAO 及代幣持有人。該傳聞出現之際，Aave 正經歷一定壓力。4 月 Kelp DAO 事件後，Aave TVL 大幅下滑，儘管 Aave 本身並未被直接攻擊，但 KelpDAO 跨鏈橋攻擊者曾利用 Aave 將被盜 rsETH 轉換爲其他資產。
據 CoinDesk 報道，渣打銀行數字資產研究主管 Geoff Kendrick 發佈報告，首次覆蓋去中心化借貸協議 Aave，並給出 2030 年底 3500 美元的目標價，較當前約 70 美元的價格漲幅約 50 倍，預計將跑贏比特幣和以太坊。 Kendrick 表示，Aave 已從 2026 年 4 月 KelpDAO rsETH 橋接漏洞事件中恢復，彼時攻擊者利用約 2.9 億美元被盜代幣作爲抵押品在 Aave 上借出真實資產，導致協議面臨最高 2.3 億美元潛在損失。目前資產已開始迴流平臺，鏈上借貸主導地位依然穩固。 展望未來，渣打銀行預計 DeFi 應用中活躍使用的代幣化資產價值到 2030 年將增長 37 倍，Aave 憑藉其與借貸活動直接掛鉤的收入模式有望直接受益。此外，Aave 的 Horizon 計劃（支持許可環境下的代幣化現實資產借貸）及代幣回購計劃的潛在重啓，亦被視爲重要催化劑。
DeFi 借貸協議 Aave 在經歷約 84.5 億美元規模資金撤出後成功維持運行，但事件同時引發市場對其風險結構與 DeFi 系統脆弱性的再度討論。此次壓力事件源於 2026 年 4 月 KelpDAO rsETH 跨鏈橋遭遇漏洞攻擊，約 2.92 億美元資產被盜，引發市場對 rsETH 抵押品安全性的擔憂。由於該資產被廣泛用作 Aave 抵押物，恐慌迅速擴散，導致用戶集中撤資。在資金外流過程中，部分借貸市場流動性被迅速消耗，利用率一度接近 100%，Aave 通過調整風險參數及緊急機制控制局面，但仍出現局部提款受限情況。儘管如此，Aave 核心智能合約並未被攻破，協議創始人 Stani Kulechov 表示，該事件驗證了系統在極端壓力下的穩定性與韌性。但分析人士指出，此次事件暴露出 DeFi 結構性風險：跨協議資產高度耦合、抵押品依賴外部橋接資產，以及流動性在極端情況下快速枯竭的潛在問題。行業觀察認爲，DeFi“可組合性”在提升效率的同時，也加速了風險傳導，使單一資產事件可能引發系統性連鎖反應。儘管 Aave 成功渡過此次壓力測試，但其結果並不等同於風險消除。整體來看，該事件被視爲 DeFi 借貸體系的一次真實極端壓力測試：系統能夠運行，但其穩定性仍高度依賴外部資產質量與市場流動性環境。（Cointelegraph）
據鏈上分析師 餘燼（@EmberCN）監測，3 月份主導 Venus 平臺 THE 抵押清算事件的攻擊者，於 1 小時前賣出 1,912枚 ETH 換取 326 萬美元，用於償還其在 Aave 上的部分借款。該借款正是其當初抵押 ETH 借出後用於操縱 Venus 清算的資金。目前該地址在 Aave 上仍有 678萬 USDT 尚未償還。
今年 4 月，KelpDAO 的 LayerZero 橋遭遇 2.92 億美元漏洞攻擊，引發 Aave 48 小時內 84.5 億美元存款擠兌，成爲迄今最大去中心化金融（DeFi）資金外流事件。Aave 創始人 Stani Kulechov 表示，Aave V3 的設計經受住了市場考驗，是網絡“韌性”的體現。然而，獨立數據表明，Aave 的倖存主要依賴 3 億美元緊急救援，其中包括 Aave DAO 25,000 ETH 擔保和 Kulechov 個人 5,000 ETH（約 840 萬美元）注資。Kulechov 將漏洞責任歸咎於第三方基礎設施，而非核心智能合約，但分析師指出，此次事件暴露了 Aave 風險架構和保險機制不足，導致平臺承受鉅額壞賬（約 1.237 億美元 wETH）。爲防止未來橋接失敗引發系統性擠兌，Aave V4 將採用模塊化“樞紐-輻射”架構，實現局部風險自動調節和擔保凍結。（CoinDesk）
Aave 發佈 4 月 18 日 rsETH 事件事後調查稱，流動性質押協議 Kelp 的 rsETH LayerZero V2 跨鏈橋在 Unichain 至 Ethereum 跨鏈過程中接受僞造消息，導致 Ethereum 側適配器釋放 11.65 萬枚 rsETH，而 Unichain 側未發生對應銷燬。Aave 表示，攻擊發生於第三方跨鏈橋基礎設施，但攻擊者將被盜 rsETH 存入 8 個 Aave V3 倉位，並借出 8.265 萬枚 WETH 和 821 枚 wstETH，導致 Aave 市場受影響。Aave 稱，目前攻擊者在 Arbitrum 上的 rsETH 已被銷燬，LayerZero OFT 適配器已分 5 批補入 11.613172 萬枚 rsETH，rsETH 資產支持已完全恢復，受影響 WETH 與 rsETH 市場已恢復正常。
Kelp在X平臺發文表示，已與多家DeFi協議協同完成對攻擊者頭寸的清算工作，rsETH恢復進程取得關鍵進展，其中：Compound在過去四周多次參與協調並提供約3000枚ETH支持，同時聯合Aave完成清算，合計恢復約17,426.20枚rsETH；Euler Finance則在其協議內清算攻擊者倉位，並計劃將多餘ETH返還至DeFi生態基金。
2026 年 4 月 Drift Protocol 與 Kelp DAO 兩起重大 DeFi 攻擊事件共造成近 6 億美元損失，並引發 Aave 等協議約 90 億美元資金外流。TRM Labs 調查員 Nick Carlsen 稱，與朝鮮有關聯的黑客組織疑似已利用 AI 輔助篩選目標及設計攻擊路徑。Failsafe CEO Aneirin Flynn 表示，AI 已將區塊鏈漏洞發現時間從數月壓縮至數天甚至數小時。報道稱，Anthropic 因網絡安全風險未全面開放 AI 模型 Mythos，並稱該模型具備發現大規模零日漏洞的能力。其研究顯示，2025 年超半數區塊鏈攻擊理論上已可由 AI 自主完成。（彭博社）
據官方消息，AaveLabs 提議將 Aave DAO 漏洞賞金框架重組爲多個特定子系統計劃，分別在 Immunefi、Sherlock 和 Cantina 平臺上運行。Core Aave V3、Core Aave V2、GHO 及非流動性協議基礎設施由 Immunefi 覆蓋，Aave V4 和 Aave App Stack 由 Sherlock 覆蓋，Aptos 上的 Aave V3 由 Cantina 覆蓋。提案建議調整各系統賞金規模，Core Aave V3 嚴重漏洞最高獎勵爲 500 萬美元，Aave V4 嚴重漏洞最高獎勵爲 250 萬美元。此外，Aptos 上的 Aave V3 漏洞賞金出資方將從 Aave Labs 轉移至 Aave DAO。目前該 ARFC 提案已獲得通過。
Aave 發文表示，其漏洞賞金計劃已更新，以便更好地使獎勵與生態系統中每個部分的風險狀況相匹配，並簡化審查路徑。Aave V4 和 Core Aave V3 的嚴重漏洞修復獎勵上限現已提高五倍。
Gate 研究院近日發佈《2026 年 4 月加密貨幣市場回顧》報告指出，4 月加密貨幣市場整體呈現震盪上行格局，總市值較 3 月明顯抬升，BTC 與 ETH ETF 交易量整體維持高位波動。報告顯示，主要公鏈生態活躍度繼續分化。Solana 日交易量維持在約 9,000 萬至 1.1 億筆區間，持續保持領先。熱點賽道方面，報告指出，Pokemon TCG RWA 已成爲當前鏈上 RWA 增長最快的細分方向之一，並於 4 月進入二次爆發階段。主要交易平臺單月交易量超過 2.2 億美元，單週收入一度接近 600 萬美元，刷新歷史新高。與此同時，Aave 在 4 月遭遇歷史上最嚴重的一次流動性衝擊，幾天內 TVL 流出規模達數百億美元，整月淨流出超過 90 億美元。融資與安全事件方面，4 月 Web3 行業共完成 51 筆融資，總金額約 8.34 億美元，資金進一步向頭部金融與基礎設施賽道集中。其中，Payward 以 2 億美元融資位列單月第一。安全層面，4 月 Web3 安全事件損失約 3.06 億美元，環比增長約 858%，主要由 Kelp DAO 單筆約 2.93 億美元的跨鏈基礎設施攻擊事件所推動。報告認爲，在市場回暖背景下，鏈上活躍度與資金流動性同步提升，但跨鏈基礎設施與高槓杆協議的安全風險仍值得持續關注。
據 Cointelegraph 報道，紐約一名法官已推遲審理 Aave 提出的解凍約 7100 萬美元 ETH 的緊急申請，並要求 Aave 與 Gerstein Harrow LLP 補充提交案情說明，新的聽證會定於 6 月 5 日舉行。法院指出，Aave 此前未充分說明若限制令繼續生效，用戶資金爲何會出現“連帶性損失”。相關資產與 Kelp DAO 約 2.93 億美元黑客攻擊事件有關，此前由 Arbitrum 凍結。法官還要求雙方就黑客交易適用法律、欺詐與盜竊的法律區分、債權優先順位、建設性信託是否適用，以及能否按比例向受害者返還資產等問題進一步說明。
Aave 在 X 平臺發文表示，rsETH 技術恢復計劃的首階段步驟已完成，包括在 Arbitrum 上銷燬攻擊者的 rsETH。後續數日內將逐步補充 LayerZero OFT 適配器資金並恢復 rsETH 相關操作。
美國曼哈頓聯邦法官 Margaret Garnett 已批准 Aave 推進其資產追回方案，允許將與朝鮮相關攻擊事件有關、此前凍結在 Arbitrum 上的約 7100 萬美元 ETH 轉入 Aave LLC 控制的錢包，同時保留恐怖主義受害者原告對該筆資金的法律追索權。裁定同時修改了此前針對 Arbitrum DAO 的凍結通知，允許通過鏈上治理投票執行轉移，並豁免發起、投票或參與轉移者在該凍結令下的責任。該轉移仍需經 Arbitrum 鏈上治理正式表決通過。（CoinDesk）