Kelp DAO twierdzi, że „domyślna" konfiguracja pojedynczego walidatora LayerZero pomogła umożliwić atak na mostek rsETH o wartości 290 mln USD, wymuszając chaotyczną grę w obwinianie i pośpieszną migrację zabezpieczeń.

Kelp DAO odrzuciło oficjalne wyjaśnienie LayerZero dotyczące exploitu mostka o wartości 290 milionów USD, argumentując, że konfiguracja „pojedynczego walidatora", która pozwoliła atakującemu ukraść 116 500 rsETH, nie była lekkomyślnym dostosowaniem, ale domyślną konfiguracją w wytycznych samego LayerZero.

Protokół restakingu płynności poinformował CoinDesk, że zdecentralizowana sieć weryfikatorów (DVN) 1-z-1 używana na trasie międzyłańcuchowej rsETH „podążała za udokumentowanymi ustawieniami domyślnymi LayerZero" i że stos walidatorów skompromitowany przez atakującego „jest częścią własnej infrastruktury LayerZero", a nie niezweryfikowaną stroną trzecią.

Atak, który miał miejsce 18 kwietnia, wyemitował lub uwolnił 116 500 rsETH na adres kontrolowany przez atakującego — około 18% podaży tokena — i przełożył się na straty rzędu około 290–293 milionów USD w tym czasie, czyniąc go największym exploitem DeFi w 2026 roku do tej pory.

Gra w obwinianie pojedynczego walidatora po exploicie rsETH

W swoim raporcie z dochodzenia i kolejnych oświadczeniach LayerZero upierało się, że „protokół LayerZero nie został złamany", argumentując zamiast tego, że Kelp DAO „wdrożyło DVN z pojedynczym punktem awarii w produkcji" dla tokena o łącznej wartości zablokowanej przekraczającej 1 miliard USD.

Firma zajmująca się interoperacyjnością stwierdziła, że „konfiguracja z pojedynczym punktem awarii oznaczała brak niezależnego weryfikatora do wykrycia i odrzucenia sfałszowanej wiadomości" i twierdziła, że wcześniej komunikowała „najlepsze praktyki dotyczące dywersyfikacji DVN" do Kelp DAO i innych partnerów.

Badacze bezpieczeństwa i audytorzy, w tym współzałożyciel SlowMist Yu Xian, potwierdzili, że trasa mostka rsETH używała DVN 1/1 — faktycznie jednego podpisu — zamiast stosu 2/2 lub multi-DVN, nazywając to podatnością „pojedynczego podpisu w pojedynczym punkcie", która mogła być wspomagana przez inżynierię społeczną.

Szczegółowy raport pośmiertny ze strony śledzenia DeFi DeFiPrime zauważa, że model OApp LayerZero pozwala aplikacjom wybrać, ile DVN musi zatwierdzić wiadomość, przy czym konfiguracje 2-z-3 lub 3-z-5 są powszechnie zalecane dla wdrożeń o wysokiej wartości, ale mówi, że adapter Kelp „został skonfigurowany do akceptowania poświadczenia pojedynczego weryfikatora" prowadzonego przez LayerZero Labs.

Ten projekt oznaczał, że „jeden sfałszowany podpis wystarczył, aby każda wiadomość międzyłańcuchowa wyglądała na prawdziwą", pozwalając atakującemu przekazać mostkowi fałszywą instrukcję naśladującą prawidłową wiadomość z innego łańcucha i wyzwolił uwolnienie 116 500 rsETH „znikąd" do ich portfela.

Zespół Kelp DAO odpowiada, że zaimplementowali własny publiczny kod i ustawienia domyślne LayerZero w wielu sieciach i że wykorzystany DVN „był obsługiwany przez sam LayerZero", sugerując, że odpowiedzialność spoczywa przynajmniej częściowo na dostawcy infrastruktury, a nie wyłącznie na aplikacji.

LayerZero podjęło teraz niezwykły krok, obiecując, że „przestanie podpisywać wiadomości dla wszystkich aplikacji używających konfiguracji pojedynczego walidatora" i wymusza „migrację zabezpieczeń", która będzie wymagać od wszystkich OApp przejścia do architektur multi-DVN, jeśli chcą nadal korzystać z protokołu.

Konsekwencje wykraczają daleko poza jeden token restakingu.

Jak donosił crypto.news we wcześniejszym artykule o exploicie rsETH i przypisaniu przez LayerZero ataku grupie Lazarus z Korei Północnej, incydent ponownie rozpalił szerszą debatę na temat projektu mostków, konfiguracji domyślnych i tego, kto ostatecznie ponosi odpowiedzialność, gdy modularna infrastruktura międzyłańcuchowa zawodzi.

Powiązane artykuły crypto.news, do których można linkować w tekście, obejmują relacje z exploitu Kelp DAO–LayerZero i przypisania grupie Lazarus, analizę wcześniejszych ataków na mostki międzyłańcuchowe oraz doniesienia o tym, jak protokoły restakingu i liquid-stakingu koncentrują ryzyko inteligentnych kontraktów w wielu łańcuchach.