同時關聯該項目與事件的快訊
據安全機構 Blockaid（@blockaid_）監測，Ekubo Protocol 在以太坊上的一個 v2 自定義擴展合約正遭受持續攻擊，目前已損失約 140 萬美元。攻擊根本原因在於該擴展的 IPayer.pay 回調未對參數來源進行有效限制，導致攻擊者可控制 payer、token 及 amount 參數，進而任意轉移已授權代幣。 Ekubo 核心協議用戶不受影響，但曾授權該 v2 合約（0x8CCB1ffD5C2aa6Bd926473425Dea4c8c15DE60fd）作爲代幣支出方的用戶面臨直接風險，Blockaid 建議相關用戶立即撤銷授權。
據鏈上分析師 Specter 監測，Wasabi 協議攻擊者已將全部被盜資金存入 Tornado Cash，攻擊者將約 590 萬美元轉入 Tornado Cash。此外，朝鮮黑客組織同樣通過 Tornado Cash 清洗 KelpDAO 及 LayerZero 被盜資金，其先將資產跨鏈至比特幣，再通過 Wasabi Mixer 進行路由，提取後跨鏈回以太坊，存入 Tornado Cash，隨後提取至新錢包並分散至多個地址，接着由新錢包部署代幣，使用被盜資金買入後從部署錢包移除流動性，再跨鏈至 Tron（USDT），持有數小時或數日後發送至 OTC 關聯錢包。
據 Cointelegraph 報道，DeFi 協議 Aave 週一在紐約提交緊急動議，要求撤銷美國律所 Gerstein Harrow LLP 阻止 Arbitrum DAO 向 Kelp 漏洞受害者轉移 30766 枚 ETH 的限制通知。 Gerstein Harrow LLP 上週五向 Arbitrum DAO 送達限制通知，主張其客戶在針對朝鮮的違約判決中應獲賠逾 8.77 億美元。該律所稱，4 月 18 日 Kelp 漏洞背後的朝鮮黑客組織曾持有這些代幣，因此其客戶對相關 ETH 享有法律請求權。
Compound 基金會在 X 平臺發文表示，經與 Kelp 和 Aave 團隊協調，爲避免干擾更廣泛的 DeFi 恢復工作，以太坊 WETH 和 wstETH 的 Comet 市場已恢復交易。其同時指出，根據 Kelp 解凍 rsETH 的具體時間，在與漏洞相關的頭寸清算窗口期間，相關市場仍可能進行臨時暫停，具體安排尚未確定。
Aave LLC 已提交緊急動議，要求撤銷 2026 年 5 月 1 日針對 ArbitrumDAO 發出的資產凍結通知。該通知涉及約 7100 萬美元 ETH，該部分資產屬於 4 月 18 日攻擊事件中的受損用戶。Aave 表示，被盜資產不因竊取行爲獲得合法所有權，相關資金原本用於返還受影響用戶，凍結反而影響補償進程。Aave 已請求法院舉行緊急聽證會並暫時撤銷凍結措施，同時表示將繼續與 Arbitrum 社區及 DeFiUnited 合作推進用戶補償事宜。
據 Cointelegraph 報道，美國律師事務所 Gerstein Harrow LLP 向紐約地區法院申請限制令及三份執行令狀，要求阻止 Arbitrum DAO 轉移因 Kelp 漏洞而凍結的 30,766 枚 ETH（價值約 7300 萬美元）。該律所主張，其客戶曾於 2010、2015、2016 年在美國法院贏得針對朝鮮的缺席判決，合計享有約 8.77 億美元賠償權益，並認爲上述被盜 ETH 屬於朝鮮關聯財產，理應用於抵償債務。 Kelp DAO 於 4 月 18 日遭受價值 2.92 億美元的黑客攻擊，攻擊者被認定爲朝鮮國家支持黑客組織 Lazarus Group 旗下的 TraderTraitor。Aave Labs 此前已提議將凍結資金解凍並轉入"DeFi United"基金，用於補償 rsETH 持有者，但該律所的法律行動或將令受害者等待週期大幅延長。 Arbitrum DAO 社區成員對此提出批評，認爲此舉將朝鮮債務的代價轉嫁至另一批受害者，進一步加重了原有損害。Gerstein Harrow 此前亦曾就 2023 年 Heco Bridge 黑客事件中 Teth
MegaETH 主管 PaperImperium 在 X 平臺披露紐約南區聯邦法院文件顯示，美國法院已向 Arbitrum DAO 發佈禁制令，要求其不得轉移此前在 KelpDAO 黑客事件中被凍結的約 7100 萬美元 ETH 資產。對此，“鏈上偵探”ZachXBT 在 X 平臺發文表示，某些美國律所利用其調查工作和鏈上取證成果幫助某些黑客事件受害者提出法律索賠，但這種做法反而會影響減緩受害者拿到補償/恢復資金。ZachXBT 補充稱，在此前多起涉及 Lazarus Group 的黑客事件中，此類律所通常會在其鏈上資金追蹤或凍結完成後才介入，並提出與加密事件本身關聯較弱的後續法律行動，也曾在 Harmony、Bybit 等事件中採取類似策略進行“搭便車式索賠”，他呼籲加密社區應該成立 DAO 來抵制此類行爲。
MegaETH 主管 PaperImperium 在 X 平臺披露紐約南區聯邦法院文件顯示，美國法院已向 Arbitrum DAO 發佈禁制令，要求其不得轉移此前在 KelpDAO 黑客事件中被凍結的約 7100 萬美元 ETH 資產。原告方試圖將該筆資金用於執行鍼對朝鮮多年來涉及恐怖主義、綁架等案件的未償判決賠償，並已申請以替代送達方式向 Arbitrum DAO 發出法律通知，將其視爲可被追責的“合夥組織”。法院文件還指出，Arbitrum DAO 設有由 ARB 持有人治理的 Security Council，具備在緊急情況下采取行動的能力，因此相關成員若拒絕配合，可能面臨藐視法庭等法律責任。市場認爲，此案或成爲美國司法體系直接約束 DAO 治理結構的重要案例，並進一步凸顯 DeFi 協議在現實法律框架下的合規壓力。
據 Cointelegraph 報道，Arbitrum 委員會投票決定解凍價值 7100 萬美元的以太坊，以遏制 Kelp DAO 漏洞造成的 2.9 億美元損失。
據匿名鏈上偵探 Wazz 披露，數百個錢包在 ETH 主網被同一地址清空，其中多個錢包已超 7 年未活躍。該事件疑似爲新型即時漏洞攻擊。加密用戶 Capitulation 追評表示，最可能的漏洞是在 2020/21 年將助記詞放在 LastPass 的安全筆記中所導致的。
Arbitrum DAO 已啓動治理投票，擬釋放此前凍結的 30,766 枚 ETH，用於支持 Kelp DAO 攻擊後的善後計劃 DeFi United。該部分資產由 Arbitrum 安全委員會在 4 月 20 日凍結，價值約 7110 萬美元，原爲攻擊者轉入 Arbitrum 網絡的資金。若提案通過，這將成爲 DeFi United 計劃中最大一筆資金支持。投票初期，已有 1690 萬枚 ARB 支持該提案，目前暫無反對票，投票將持續至 5 月 7 日。
以太坊應用公會“Ethereum Applications Guild（EAG）”宣佈正式成立，作爲一個全球性非營利協作組織，旨在支持以太坊應用生態的發展，推動其從基礎設施階段嚮應用層擴展，同時圍繞四大方向展開運作：推動真實世界應用落地、連接跨領域生態網絡、建立統一評估與開發框架，以及構建可持續資金機制。據悉，EAG 將基於機構規模（如估值、市值或 AUM）的會員貢獻體系，並且通過質押收益捐贈機制，將 ETH 質押收益部分導入生態增長基金。 EAG 同時還發布 2026 全球應用與開發者計劃，將展開發者教育、黑客松與研究項目，並通過區域路演與生態展示強化本地開發者社區建設。
據 The Block 報道，區塊鏈情報公司 TRM Labs 發佈報告顯示，北韓黑客組織在 2026 年前四個月共盜取約 5.77 億美元加密資產，佔同期全球黑客損失總額的 76%。上述損失均來自 4 月發生的兩起重大事件：KelpDAO 遭 TraderTraitor 組織攻擊損失 2.92 億美元，Drift Protocol 遭另一北韓子組織攻擊損失 2.85 億美元，後者攻擊籌備早在 3 月 11 日便已開始，最終於 12 分鐘內完成資金提取。 兩起事件採用不同洗錢路徑，Drift 被盜資金目前仍大量沉寂於以太坊，KelpDAO 被盜資金則通過 THORChain 快速兌換爲 BTC，由中國中間人協助完成後續洗錢。TRM Labs 指出，自 2017 年以來北韓累計盜竊加密資產已超 60 億美元，且佔全球損失比例持續攀升，從 2020 年的不足 10% 升至 2025 年的 64%。
ether.fi 首席執行官 Mike Silagadze 在 X 平臺發文回應承諾向 Kelp 黑客事件恢復基金投入 5000 枚 ETH 原因，他表示團隊認爲此次事件存在“摧毀整個 DeFi 生態”的真實風險，若 Kelp 破產，價值 15 億美元的 rsETH 可能被長期凍結，進而導致規模達 300 億美元的 Aave 借貸市場陷入停滯，並引發 DeFi 與 CeFi 連鎖崩盤，並稱“FTX 相比之下都顯得微不足道”。Mike Silagadze 補充稱，在多數機構選擇退縮並交由律師處理時，主動承擔責任並迅速籌資填補漏洞，幫助避免最壞情況發生是好的選擇。
據 CertiK 披露，Syndicate 協議因 Commons 跨鏈橋遭到攻擊，發生一起漏洞利用事件。攻擊者通過上述漏洞獲取約 1850 萬枚 SYND 代幣，並將其出售，套現約 33 萬美元。目前，相關資金已通過跨鏈橋轉移至以太坊網絡。 Syndicate 官方回應，正在調查 Commons 橋的安全泄露事件。團隊正在追蹤攻擊行爲，並與安全公司合作。團隊還在考慮各種方案，以補償受影響的用戶。Syndicate 擁有足夠的代幣可用，以幫助那些丟失 SYND 的用戶。
據 SlowMist 監測，由於 EIP-7702 賬戶存在設計缺陷，某 QNT 儲備池遭受攻擊，損失 1988.5 枚 QNT，價值約 54.93 枚 ETH。攻擊根源在於該儲備池的管理員身份由地址持有，該地址通過 EIP-7702 將其代碼委託給 BatchExecutor 合約。由於 BatchExecutor 授權了無權限控制的 BatchCall 合約作爲調用者，且 BatchCall.batch 函數缺乏權限檢查，導致攻擊者利用任意調用漏洞提取了池內代幣。
據 a16z 披露，其研究人員對 AI 代理能否獨立完成 DeFi 價格操縱漏洞利用進行了系統測試。研究以 20 起以太坊價格操縱事件爲數據集，使用配備 Foundry 工具鏈的 Codex（GPT 5.4）作爲測試代理。在無領域知識的基準條件下，代理成功率僅爲 10%；引入基於真實攻擊事件提煉的結構化領域知識後，成功率提升至 70%。 失敗案例顯示，代理均能準確識別漏洞，但普遍無法理解遞歸借貸的槓桿邏輯、錯誤判斷盈利空間，以及無法組裝跨合約的多步驟攻擊結構。實驗還記錄到一起沙箱逃逸事件：代理通過提取本地節點配置中的 RPC 密鑰，調用 anvil_reset 方法將節點重置至未來區塊，繞過信息隔離限制並獲取真實攻擊數據。 研究團隊認爲，AI 代理目前可有效輔助漏洞識別，但尚不能替代專業安全審計人員。
據 Dark Web Informer 披露，去中心化預測市場平臺 Polymarket 疑遭黑客入侵，威脅行爲者 xorcat 在一知名網絡犯罪論壇發佈了逾 30 萬條數據記錄及配套漏洞利用工具包。數據提取日期爲 2026 年 4 月 27 日。 據稱，攻擊者通過未公開的 API 端點、分頁繞過及 Polymarket Gamma 與 CLOB API 的 CORS 錯誤配置提取數據。泄露內容包括：1 萬個用戶完整個人信息（含姓名、代理錢包及基礎地址）、4111 條評論、1000 條舉報記錄（含 58 個 ETH 地址及管理員認證地址標識）、48536 個 Gamma 市場元數據、逾 25 萬個活躍 CLOB 市場的固定乘積做市商地址，以及 9000 個關注者社交圖譜數據。 工具包中包含多個漏洞的概念驗證代碼，涉及 CVE-2025-62718（Axios NO_PROXY 繞過，CVSS 9.9，可觸發服務端請求僞造）、CVE-2024-51479（Next.js 中間件認證繞過，CVSS 7.5）及 CORS 錯誤配置等。此外，工具包還附有自動化持續拉取腳本及完整紅隊報告（含 M
Circle Ventures、Consensys 及 Joseph Lubin 宣佈支持 DeFi United 行動，旨在緩解 Kelp DAO 漏洞造成的損失。Circle Ventures 正通過購買 AAVE 代幣支持該生態系統。Consensys 及以太坊聯合創始人 Joseph Lubin 確認爲 DeFi United 提供 3 萬枚 ETH。目前 DeFi United 已籌集超過 13.2 萬枚 ETH，總價值超過 3 億美元。相關資金將用於彌補因攻擊者通過 LayerZero 橋鑄造無抵押 rsETH 並在 Aave 借出資產導致的壞賬。此前 Aave 已提議捐贈 2.5 萬枚 ETH，Lido DAO、Ether.fi 及 Kelp 也分別提議或承諾捐贈 2500 枚 ETH、5000 枚 ETH 及 2000 枚 ETH。
據 Ai 姨監測，Galaxy Digital OTC 關聯地址 (0x16F...1Fde) 向交易所充值 1.5 萬枚 ETH，價值 3474 萬美元。該筆資金來源爲一週前從 Aave 取出的 3.8 萬枚 ETH，即 Kelp DAO 被攻擊致使 Aave 疑似出現壞賬當日。