LayerZero erläutert den 292 Millionen US-Dollar teuren KelpDAO-Exploit und verschärft die Bridge-Sicherheit

LayerZero Labs hat seinen Vorfallbericht zum KelpDAO-Bridge-Angriff veröffentlicht und besagt, dass etwa 292 Millionen US-Dollar an rsETH gestohlen wurden, nachdem Angreifer die von seinem Verifizierungsnetzwerk verwendete RPC-Infrastruktur vergiftet und Richtlinienänderungen rund um Single-Signer-Konfigurationen erzwungen hatten.

LayerZero Labs hat einen detaillierten Bericht über den KelpDAO-Exploit veröffentlicht und bestätigt, dass Angreifer etwa 116.500 rsETH im Wert von etwa 292 Millionen US-Dollar gestohlen haben, indem sie die nachgelagerte Infrastruktur kompromittiert haben, die mit der Verifizierungsschicht verbunden ist, die in der kettenübergreifenden Konfiguration von KelpDAO verwendet wird.

Das Unternehmen sagte, der Vorfall sei auf das rsETH-Setup von KelpDAO beschränkt gewesen, da die Anwendung auf einer 1-von-1-DVN-Konfiguration mit LayerZero Labs als einzigem Verifizierer beruhte, ein Design, das laut LayerZero direkt seiner ständigen Empfehlung widersprach, dass Anwendungen diversifizierte Multi-DVN-Setups mit Redundanz verwenden.

In seiner Erklärung sagte LayerZero, es gebe „keine Ansteckung mit anderen kettenübergreifenden Assets oder Anwendungen“ und argumentierte, dass die modulare Sicherheitsarchitektur des Protokolls den Explosionsradius eindämmte, selbst wenn eine einzelne Konfiguration auf Anwendungsebene ausfiel.

Wie der Angriff funktionierte

Dem Bericht von LayerZero zufolge zielte der Angriff vom 18. April 2026 auf die RPC-Infrastruktur ab, auf die sich das LayerZero Labs DVN stützte, anstatt das LayerZero-Protokoll, die Schlüsselverwaltung oder die DVN-Software selbst auszunutzen.

Das Unternehmen sagte, die Angreifer hätten Zugriff auf die Liste der vom DVN verwendeten RPCs erhalten, zwei auf separaten Clustern laufende Knoten kompromittiert, Binärdateien auf Op-Geth-Knoten ersetzt und dann böswillige Payloads verwendet, um gefälschte Transaktionsdaten an den Verifizierer weiterzuleiten und gleichzeitig wahrheitsgemäße Daten an andere Endpunkte, einschließlich interner Überwachungsdienste, zurückzugeben.

Um den Exploit zu vervollständigen, starteten die Angreifer auch DDoS-Angriffe auf nicht kompromittierte RPC-Endpunkte, die einen Failover zu den vergifteten Knoten auslösten und es dem LayerZero Labs DVN ermöglichten, Transaktionen zu bestätigen, die tatsächlich nie stattgefunden hatten.

Externe forensische Arbeiten entsprechen im Großen und Ganzen dieser Beschreibung. Chainalysis sagte, dass die mit der nordkoreanischen Lazarus-Gruppe verbundenen Angreifer, insbesondere TraderTraitor, keinen Smart-Contract-Fehler ausnutzten, sondern stattdessen eine kettenübergreifende Nachricht fälschten, indem sie interne RPC-Knoten vergifteten und externe in einem Single-Point-of-Failure-Verifizierungsaufbau überwältigten.

Sicherheitsänderungen

LayerZero sagte, die unmittelbare Reaktion umfasste die Abschaffung und den Austausch aller betroffenen RPC-Knoten, die Wiederherstellung des Betriebs des LayerZero Labs DVN und die Kontaktaufnahme mit Strafverfolgungsbehörden sowie die Zusammenarbeit mit Industriepartnern und Seal911, um die gestohlenen Gelder aufzuspüren.

Noch wichtiger ist, dass das Unternehmen seinen Umgang mit riskanten Konfigurationen ändert. In der Erklärung sagte LayerZero, dass sein DVN „keine Nachrichten von Anwendungen signieren oder bestätigen wird, die eine 1/1-Konfiguration verwenden“, ein direkter Richtlinienwechsel, der darauf abzielt, eine Wiederholung des KelpDAO-Fehlermodus zu verhindern.

Das Unternehmen wendet sich auch an Projekte, die noch immer 1/1-Konfigurationen verwenden, um diese auf Multi-DVN-Modelle mit Redundanz zu migrieren, und gibt damit praktisch zu, dass Konfigurationsflexibilität ohne erzwungene Sicherheitsmaßnahmen in der Praxis zu freizügig war.

Auch das Attributionsbild hat sich verhärtet. Chainalysis brachte den Exploit mit der nordkoreanischen Lazarus Group und insbesondere TraderTraitor in Verbindung, während Nexus Mutual sagte, die gefälschte Nachricht habe in weniger als 46 Minuten 292 Millionen US-Dollar von der KelpDAO-Brücke abgezogen, was sie zu einem der größten DeFi-Verluste im Jahr 2026 machte.

Das Ergebnis ist eine bekannte, aber brutale Lektion für die kettenübergreifende Infrastruktur: Die Smart Contracts können intakt bleiben und das Protokoll kann in der Praxis immer noch scheitern, wenn die Off-Chain-Vertrauensschicht schwach genug ist. LayerZero versucht nun zu beweisen, dass die richtige Erkenntnis aus einem Bridge-Diebstahl im Wert von 292 Millionen US-Dollar nicht darin besteht, dass die modulare Sicherheit versagt hat, sondern darin, dass es der eigentliche Fehler war, irgendjemandem die Ausführung eines Single-Signer-Setups zu überlassen.