کیلپ کا دعویٰ ہے کہ LayerZero نے اس سیٹ اپ کی منظوری دی جس پر اس نے 292 ملین ڈالر کے پل ہیک کا الزام لگایا تھا۔

Kelp DAO کا دعویٰ ہے کہ LayerZero کے اہلکاروں نے 1-of-1 تصدیق کنندہ سیٹ اپ کی منظوری دی، اس فیصلے کے بعد LayerZero نے شمالی کوریا سے منسلک حملہ آور نے Kelp کے rsETH پل سے تقریباً 292 ملین ڈالر نکالنے کی وجہ بتائی ہے۔

یہ دعویٰ LayerZero کے 19 اپریل کے پوسٹ مارٹم کے خلاف ہے، جس میں کہا گیا ہے کہ Kelp کی rsETH ایپلیکیشن LayerZero Labs پر اپنے واحد تصدیق کنندہ کے طور پر انحصار کرتی ہے اور یہ کہ سیٹ اپ LayerZero کے تجویز کردہ ملٹی-DVN ماڈل سے "براہ راست متصادم" ہے۔

Kelp کے میمو میں کہا گیا ہے کہ LayerZero کے اہلکاروں نے 2.5 سال سے زائد عرصے تک اس کی تشکیلات کا جائزہ لیا اور آٹھ انضمام کے مباحثوں میں، بغیر کسی انتباہ کے کہ 1 میں سے 1 سیٹ اپ نے مادی سلامتی کو خطرہ لاحق کیا۔

"Setting the Record Straight Arround the LayerZero Bridge Hack" کے عنوان سے اس میمو میں ٹیلی گرام ایکسچینجز کے اسکرین شاٹس شامل ہیں جو کہ LayerZero کی آگاہی اور Kelp کے تصدیق کنندہ سیٹ اپ پر اعتراض کی کمی کو دستاویز کرتے ہیں۔

ایک اسکرین شاٹ میں LayerZero ٹیم کے ایک رکن کو یہ کہتے ہوئے دکھایا گیا ہے: "ڈیفالٹس کو استعمال کرنے میں بھی کوئی مسئلہ نہیں ہے - یہاں صرف ٹیگ کرنا [رییکٹڈ] کیونکہ اس نے بتایا کہ ہوسکتا ہے آپ پیغامات کی تصدیق کے لیے حسب ضرورت DVN سیٹ اپ استعمال کرنا چاہتے ہوں، لیکن آپ اسے اپنی ٹیم پر چھوڑ دیں گے!" کیلپ کا کہنا ہے کہ ایکسچینج میں جن "ڈیفالٹس" کا حوالہ دیا گیا وہ 1-of-1 LayerZero Labs DVN کنفیگریشن تھے بعد میں LayerZero نے ایپلیکیشن لیول سیٹ اپ کے طور پر حوالہ دیا جس نے استحصال کو فعال کیا۔

CoinDesk اسکرین شاٹ کو آزادانہ طور پر تصدیق نہیں کر سکا۔

لیئر زیرو کے ٹیمپلیٹس

کیلپ LayerZero کے بگ باؤنٹی اسکوپ، OFT Quickstart اور ڈیولپر کی مثالوں کی طرف بھی ثبوت کے طور پر اشارہ کرتا ہے کہ LayerZero نے بلڈرز کو ایک DVN سیٹ اپ دکھاتے ہوئے تصدیق کنندہ نیٹ ورک کے انتخاب کو ایپلیکیشن لیول کنفیگریشن کے طور پر سمجھا۔

Immunefi پر LayerZero کا شائع شدہ بگ باؤنٹی اسکوپ انعامات سے خارج ہے "خود OApps پر ان کی اپنی غلط کنفیگریشن کے نتیجے میں ہونے والے اثرات"، بشمول تصدیق کنندہ نیٹ ورکس اور ایگزیکیوٹرز۔

GitHub پر LayerZero OFT Quickstart اور آفیشل OFT مثال کی ترتیب LayerZero Labs کو مطلوبہ DVN کے طور پر دکھاتی ہے، بغیر کسی اختیاری DVN سیٹ کے۔

کیلپ کے میمو میں اسپیئر بٹ سیکیورٹی ریسرچر سوجیت سومراج کی 19 اپریل کی پوسٹ کا حوالہ دیا گیا ہے، جس میں سومراج نے کہا تھا کہ اس نے ایک بگ باؤنٹی رپورٹ جمع کرائی تھی جس میں حملے کے اسی طرز کو بیان کیا گیا تھا اور لیئر زیرو نے اسے مسترد کر دیا تھا۔

"میرا بگ باؤنٹی: ایک vuln نہیں، تمام DVNs کی ضرورت ہے،" Somraaj نے X پر لکھا۔ "ان کی تعیناتی: 'تمام' حصے کو ہٹا دیتی ہے۔ ہیکرز: اس کے بجائے $295M باونٹی اکٹھا کرتے ہیں۔" سومراج اپنے کینٹینا پروفائل کے مطابق، پہلے لیئر زیرو آڈیٹر ہیں۔

کیلپ Chainlink پر چلا جاتا ہے۔

Kelp نے یہ بھی کہا کہ وہ rsETH کو LayerZero سے Chainlink کے کراس چین انٹرآپریبلٹی پروٹوکول پر منتقل کر رہا ہے۔ شفٹ rsETH کو LayerZero کے OFT اسٹینڈرڈ سے Chainlink کے کراس چین ٹوکن اسٹینڈرڈ پر لے جاتی ہے۔

اس استحصال سے 116,500 rsETH نکالا گیا، جس کی مالیت تقریباً 292 ملین ڈالر تھی، کیلپ کے لیئر زیرو سے چلنے والے پل سے۔ پروٹوکول نے کہا کہ Kelp کی جانب سے اپنے معاہدوں کو روکنے سے پہلے LayerZero Labs DVN کے ذریعے دو اضافی جعلی لین دین پر دستخط کیے گئے اور ان پر عملدرآمد کیا گیا۔

LayerZero نے کہا کہ حملہ آور ممکنہ طور پر شمالی کوریا کے Lazarus گروپ سے منسلک ہیں، جنہوں نے LayerZero Labs DVN کے ذریعے استعمال ہونے والے RPCs کی فہرست تک رسائی حاصل کی، دو RPC نوڈس سے سمجھوتہ کیا اور ان پر چلنے والی بائنریز کو تبدیل کر دیا۔

حملہ آوروں نے پھر غیر سمجھوتہ شدہ RPC نوڈس کے خلاف DDoS حملہ شروع کیا، جس سے زہر آلود افراد کو ناکامی پر مجبور کیا گیا۔ LayerZero نے کہا کہ پھر DVN نے ان لین دین کی تصدیق کی جو نہیں ہوئی تھیں۔

کیلپ کا استدلال ہے کہ 1 کا 1 سیٹ اپ وسیع تھا۔ CoinGecko نے، Dune Analytics کے اعداد و شمار کا حوالہ دیتے ہوئے کہا کہ تقریباً 2,665 فعال LayerZero OApp معاہدوں میں سے 47% نے 22 اپریل کو ختم ہونے والے 90 دن کے دورانیے میں 1-1-1 DVN کنفیگریشن چلائی، جس میں 4.5 بلین ڈالر سے زیادہ متعلقہ مارکیٹ ویلیو اسی طبقے کے خطرے سے دوچار ہے۔

LayerZero کے پوسٹ مارٹم نے کہا کہ پروٹوکول "بالکل اسی طرح کام کرتا ہے جیسا کہ ارادہ تھا۔" کمپنی نے کہا کہ وہ اب کسی بھی ایپلیکیشن کے لیے پیغامات پر دستخط نہیں کرے گی جو 1-of-1 کنفیگریشن پر چل رہی ہے، پالیسی میں تبدیلی جو کہ ہیک کے بعد نافذ ہوئی۔

کیلپ نے الزام لگایا ہے کہ اس کی ٹیم کو لیئر زیرو کی نگرانی کے بارے میں سوالات اٹھاتے ہوئے ، دوسرے راستے کے بجائے لیئر زیرو پر استحصال کا جھنڈا لگانا پڑا۔

میمو میں LayerZero Labs DVN اور Nethermind DVN دونوں پر ADMIN_ROLE کو دیے گئے پتوں میں کافی اوورلیپ کا الزام بھی لگایا گیا ہے، جس میں 8 اپریل 2026 کو دس اور 6 فروری 2025 کو پانچ اضافی درج کیے گئے ہیں۔ CoinDesk نے آزادانہ طور پر onchain دعوے کی تصدیق نہیں کی ہے۔

LayerZero نے اشاعت کے ذریعہ تبصرہ کرنے کی درخواست کا جواب نہیں دیا۔

دستاویزات کے مطابق، کم از کم دو مربوط زنجیروں، دیناری اور اسکیل پر، LayerZero Labs DVN اب بھی واحد دستیاب تصدیق کنندہ کے طور پر درج ہے۔