LayerZero отреагировал на инцидент с уязвимостью в KelpDAO на $290 млн, возложив вину на конфигурацию с одним DVN

博链BroadChain获悉，4月20日 20:00，据 Bitcoinist，KelpDAO旗下rsETH遭遇的2.9亿美元漏洞事件进入新阶段，LayerZero与Aave公开阐述了事件经过、损害可控的原因及其对未来跨链安全标准的影响。LayerZero的核心论点是，此次事件并非其协议本身失效，而是KelpDAO决定以单DVN（去中心化验证网络）配置运行rsETH所致。这一表态将市场叙事从LayerZero集成资产的广泛传染风险，转向更具体的问题：单一应用安全设计中的风险集中度。在4月20日的声明中，LayerZero称4月18日的攻击针对KelpDAO的rsETH设置，并“完全局限于KelpDAO的rsETH配置，是其单DVN设置的直接后果”。该公司补充称，已对活跃集成进行了全面审查，并“有信心确认不存在对其他任何资产或应用的传染风险”。LayerZero将此事件定性为与国家相关的加密基础设施攻击，而非协议漏洞，初步迹象指向高度复杂的国家行为体，很可能是朝鲜的Lazarus Group（具体为TraderTraitor）。攻击并未直接危害协议、密钥管理或DVN实例，而是攻击者污染了LayerZero Labs DVN使用的下游RPC基础设施，在被入侵的op-geth节点上替换二进制文件，然后对未受影响的RPC施加DDoS压力，迫使故障转移至被污染的基础设施。LayerZero强调，由于其最小权限原则，攻击者无法入侵实际的DVN实例，但利用此切入点执行了RPC欺骗攻击。其恶意节点使用专门设计的自定义载荷向DVN伪造消息，同时向包括其自身监控基础设施在内的其他IP返回真实响应，以规避检测。LayerZero指出，如果rsETH未依赖1-of-1验证器设置，本应在应用层阻止此次攻击。KelpDAO的OApp配置当时依赖单DVN设置，由LayerZero Labs作为唯一验证者，这与LayerZero一贯向所有集成合作伙伴推荐的多DVN冗余模型直接相悖。该公司表示，其DVN已重新上线，受影响的RPC节点已被弃用和替换，并将不再为使用1/1配置的应用签署或证明消息，同时正与执法部门和行业伙伴（包括Seal911）合作追踪资金。Aave在X平台更新中表示，其分析显示“以太坊主网上的rsETH有充分支持”，但出于谨慎，rsETH在Aave V3和V4上仍被冻结，且对该事件的敞口已被封顶。WETH储备金在以太坊、Arbitrum、Base、Mantle和Linea的受影响市场上也仍被冻结，团队继续验证信息并评估可能的解决方案。截至发稿，加密货币总市值约为2.5万亿美元。