LayerZero подробно описывает эксплойт KelpDAO стоимостью 292 миллиона долларов и усиливает безопасность моста

LayerZero Labs опубликовала отчет об инциденте, связанном с атакой моста KelpDAO, в котором говорится, что около 292 миллионов долларов в rsETH было украдено после того, как злоумышленники отравили инфраструктуру RPC, используемую ее сетью проверки, и вынудили внести изменения в политику в отношении конфигураций с единой подписью.

LayerZero Labs опубликовала подробный отчет об эксплойте KelpDAO, подтвердив, что злоумышленники украли около 116 500 rsETH на сумму около 292 миллионов долларов США, скомпрометировав нижестоящую инфраструктуру, связанную с уровнем проверки, используемым в кросс-чейн конфигурации KelpDAO.

Компания заявила, что инцидент ограничился настройкой rsETH KelpDAO, поскольку приложение полагалось на конфигурацию DVN «1 из 1» с LayerZero Labs в качестве единственного проверяющего устройства, что, по словам LayerZero, прямо противоречит ее постоянной рекомендации о том, что приложения должны использовать диверсифицированные настройки нескольких DVN с избыточностью.

В своем заявлении LayerZero заявила, что «не было никакого заражения любых других межсетевых активов или приложений», утверждая, что модульная архитектура безопасности протокола сдерживает радиус взрыва даже в случае сбоя в конфигурации на уровне одного приложения.

Как сработала атака

Согласно отчету LayerZero, атака 18 апреля 2026 года была нацелена на инфраструктуру RPC, на которую опирается LayerZero Labs DVN, а не на использование протокола LayerZero, управления ключами или самого программного обеспечения DVN.

Компания заявила, что злоумышленники получили доступ к списку RPC, используемых DVN, скомпрометировали два узла, работающие в отдельных кластерах, заменили двоичные файлы на узлах op-geth, а затем использовали вредоносные полезные данные для передачи поддельных данных транзакций верификатору, одновременно возвращая правдивые данные другим конечным точкам, включая службы внутреннего мониторинга.

Чтобы завершить эксплойт, злоумышленники также запустили DDoS-атаки на нескомпрометированные конечные точки RPC, что привело к аварийному переключению на отравленные узлы и позволило LayerZero Labs DVN подтверждать транзакции, которые на самом деле никогда не происходили.

Внешняя судебно-медицинская деятельность в целом соответствует этому описанию. Chainaанализ сообщил, что злоумышленники, связанные с северокорейской группой Lazarus, в частности TraderTraitor, не воспользовались ошибкой смарт-контракта, а вместо этого подделали межсетевое сообщение, отравляя внутренние узлы RPC и подавляя внешние в настройке проверки с единой точкой отказа.

Изменения безопасности

LayerZero заявил, что немедленная реакция включала прекращение поддержки и замену всех затронутых узлов RPC, восстановление работы LayerZero Labs DVN и обращение в правоохранительные органы, а также работу с отраслевыми партнерами и Seal911 для отслеживания украденных средств.

Что еще более важно, компания меняет способы обработки рискованных конфигураций. В заявлении LayerZero говорится, что ее DVN «не будет подписывать или подтверждать сообщения от любых приложений, использующих конфигурацию 1/1», что является прямым изменением политики, направленным на предотвращение повторения режима сбоя KelpDAO.

Компания также обращается к проектам, все еще использующим конфигурации 1/1, для их миграции на модели с несколькими DVN с резервированием, фактически признавая, что гибкость конфигурации без усиленных мер безопасности на практике была слишком либеральной.

Картина атрибуции также ужесточилась. Chainaанализ связал эксплойт с северокорейской группой Lazarus и, в частности, с TraderTraitor, в то время как Nexus Mutual заявила, что поддельное сообщение унесло 292 миллиона долларов с моста KelpDAO менее чем за 46 минут, что сделало его одной из крупнейших потерь DeFi в 2026 году.

Результатом стал знакомый, но жестокий урок для кросс-чейн-инфраструктуры: смарт-контракты могут выжить в целости и сохранности, а протокол все равно может дать сбой на практике, если уровень доверия вне сети достаточно слаб. LayerZero теперь пытается доказать, что правильный вывод из кражи моста стоимостью 292 миллиона долларов заключается не в том, что модульная безопасность не удалась, а в том, что позволить кому-либо использовать установку с единой подписью было настоящей ошибкой.