Келп утверждает, что LayerZero одобрил установку, которую он обвинил во взломе моста стоимостью 292 миллиона долларов
Эксплойт стоимостью 292 миллиона долларов, связанный с северокорейскими хакерами, побудил Kelp перенести свой rsETH со стандарта OFT LayerZero на CCIP Chainlink.
Kelp DAO утверждает, что сотрудники LayerZero одобрили настройку верификатора 1 из 1, и это решение LayerZero с тех пор назвало причиной того, что связанный с Северной Кореей злоумышленник украл около 292 миллионов долларов из моста rsETH Kelp.
Это заявление противоречит отчету LayerZero от 19 апреля, в котором говорилось, что приложение rsETH компании Kelp использовало LayerZero Labs в качестве единственного верификатора и что установка «прямо противоречит» рекомендованной LayerZero модели с несколькими DVN.
В записке Келпа говорится, что сотрудники LayerZero проверяли его конфигурации в течение более 2,5 лет и участвовали в восьми обсуждениях интеграции, не предупреждая, что установка «1 из 1» представляет существенный риск безопасности.
Записка, озаглавленная «Прямая установка информации о взломе LayerZero Bridge», включает в себя скриншоты обменов Telegram, которые документируют осведомленность LayerZero и отсутствие возражений против настройки верификатора Kelp.
На одном снимке экрана видно, как член команды LayerZero говорит: «С использованием значений по умолчанию тоже нет проблем — просто пометьте здесь [отредактировано], поскольку он упомянул, что вы, возможно, хотели использовать пользовательскую настройку DVN для проверки сообщений, но оставьте это на усмотрение вашей команды!» Келп говорит, что «по умолчанию», упомянутые в обмене информацией, была конфигурация DVN LayerZero Labs «1 из 1», позже названная LayerZero как настройка уровня приложения, которая позволила использовать эксплойт.
CoinDesk не смог самостоятельно подтвердить подлинность скриншота.
Шаблоны LayerZero
Келп также указывает на объем вознаграждения за ошибки LayerZero, краткий курс OFT и примеры для разработчиков как на свидетельство того, что LayerZero рассматривал выбор сети верификатора как конфигурацию уровня приложения, показывая сборщикам настройку с одним DVN.
Опубликованный LayerZero объем вознаграждения за ошибки на Immunefi исключает из вознаграждений «воздействие на сами OApps в результате их собственной неправильной конфигурации», включая сети верификаторов и исполнителей.
В кратком руководстве по LayerZero OFT и официальном примере конфигурации OFT на GitHub LayerZero Labs указан как необходимый DVN без дополнительного набора DVN.
В записке Келпа цитируется сообщение от 19 апреля исследователя безопасности Spearbit Суджита Сомрааджа, в котором Сомраадж сообщил, что он отправил отчет о вознаграждении за обнаружение ошибок, описывающий ту же схему атаки, и что LayerZero отклонил его.
«Моя награда за обнаружение ошибок: не уязвимость, требуются все DVN», — написал Сомраадж на X. «Их развертывание: удаляет часть «все». Хакеры: вместо этого получают награду в размере 295 миллионов долларов». Согласно его профилю в Cantina, Сомраадж является предыдущим одитором LayerZero.
Келп переезжает в Chainlink
Келп также заявил, что переносит rsETH с LayerZero на протокол межсетевого взаимодействия Chainlink. Сдвиг перемещает rsETH из стандарта OFT LayerZero в стандарт Cross-Chain Token Chainlink.
Эксплойт украл 116 500 rsETH на сумму примерно 292 миллиона долларов из моста Kelp, работающего на LayerZero. Две дополнительные фальшивые транзакции на общую сумму более 100 миллионов долларов были подписаны и обработаны LayerZero Labs DVN до того, как Kelp приостановила свои контракты, говорится в протоколе.
LayerZero заявил, что злоумышленники, вероятно, связаны с северокорейской группой Lazarus, которая получила доступ к списку RPC, используемых LayerZero Labs DVN, скомпрометировала два узла RPC и заменила работающие на них двоичные файлы.
Затем злоумышленники начали DDoS-атаку на нескомпрометированные узлы RPC, вызвав аварийное переключение на отравленные узлы. LayerZero сообщил, что затем DVN подтвердил транзакции, которых не было.
Келп утверждает, что установка «1 из 1» была широко распространена. CoinGecko, ссылаясь на данные Dune Analytics, сообщает, что 47% из примерно 2665 активных контрактов LayerZero OApp использовали конфигурацию DVN 1 из 1 в течение 90-дневного периода, заканчивающегося примерно 22 апреля, при этом соответствующая рыночная стоимость на сумму более 4,5 миллиардов долларов США подвергалась тому же классу риска.
В вскрытии LayerZero говорится, что протокол «функционировал точно так, как задумано». Компания заявила, что больше не будет подписывать сообщения для любого приложения, работающего в конфигурации «1 из 1», — изменение политики, которое вступило в силу после взлома.
Келп утверждает, что его команде пришлось сообщить об эксплойте LayerZero, а не наоборот, что вызывает вопросы о мониторинге LayerZero.
В меморандуме также утверждается о существенном совпадении адресов, предоставленных ADMIN_ROLE как в LayerZero Labs DVN, так и в Nethermind DVN: десять из них были перечислены 8 апреля 2026 года и еще пять — 6 февраля 2025 года. CoinDesk не проводила независимую проверку заявления в сети.
LayerZero не ответил на запрос издания о комментариях.
Согласно документации, как минимум в двух интегрированных цепочках, Dinari и Skale, LayerZero Labs DVN по-прежнему указан как единственный доступный аттестатор.
Отказ от ответственности за использование искусственного интеллекта. Части этой статьи были созданы с помощью инструментов искусственного интеллекта и проверены нашей редакционной командой для обеспечения точности и соответствия нашим стандартам. Для получения дополнительной информации ознакомьтесь с полной Политикой AI CoinDesk.