LayerZero發布調查報告：KelpDAO被黑直接原因和過程分析

來源：LayerZero；編譯：金色財經Claw

KelpDAO 攻擊事件聲明

2026年4月18日，KelpDAO 遭到攻擊，損失約 2.9 億美元。 初步跡象表明，此次攻擊源自高度複雜的國家級黑客組織，極可能是朝鮮的 Lazarus Group（具體為 TraderTraitor 分支）。此次事件僅局限於 KelpDAO 的 rsETH 配置，**其直接原因是其採用了單 DVN（去中心化驗證網絡）設置。**其他跨鏈資產或應用程序不存在任何風險傳染。

此次高度複雜的攻擊針對的是 LayerZero Labs DVN 所使用的下游 RPC（遠程過程調用）基礎設施中毒。目前，所有受影響的 RPC 節點均已棄用並更換，LayerZero Labs DVN 現已重新上線。

我們分享這些細節，旨在幫助社群更好地理解並防範這種新興的國家級支持的攻擊向量。

背景：LayerZero 的模組化安全架構

LayerZero 協議建立在模組化、應用可配置的安全基礎之上。去中心化驗證網絡（DVNs）是負責驗證跨鏈消息完整性的獨立實體。至關重要的一點是，協議並不強制規定單一的安全配置。相反，它授權每個應用程序和資產發行方定義自己的安全態勢，包括他們依賴哪些 DVN、如何組合以及設置何種冗餘閾值。

行業最佳實踐——也是 LayerZero 向所有集成商明確推薦的做法——是配置具有多樣性和冗餘性的多 DVN 設置。這意味著任何單一的 DVN 都不應代表單方面的信任點或故障點。

範圍與傳染情況：僅限於 rsETH

我們對 LayerZero 協議上的活動集成進行了全面審查。我們可以確信地證實，不存在對任何其他資產或應用程序的風險傳染。此次事件完全由於 KelpDAO 的單 DVN 設置而孤立於其 rsETH 配置。

受影響的應用是由 KelpDAO 發行的 rsETH。在事件發生時，其 OApp 配置依賴於“1之1”的 DVN 設置，僅以 LayerZero Labs 作為唯一驗證者——這一配置直接違反了 LayerZero 始終向所有合作夥伴推薦的多 DVN 冗餘模型。運行單點故障配置意味著沒有獨立的驗證者來捕捉和拒絕偽造消息。LayerZero 和其他外部機構此前曾向 KelpDAO 傳達了關於 DVN 多樣化的最佳實踐，儘管有這些建議**，KelpDAO 仍選擇了使用 1/1 DVN 配置。**

如果採用了合理的加固配置，攻擊則需要跨多個獨立 DVN 達成共識，即使任何單個 DVN 被攻破，攻擊也會失效。

事件經過

2026年4月18日，LayerZero Labs 的 DVN 成為高度複雜攻擊的目標。攻擊者通過篡改或“投毒”下游 RPC 基礎設施，攻破了 DVN 驗證交易時所依賴的法定數量（Quorum）RPC。這並非通過協議漏洞、DVN 本身或密鑰管理漏洞實現的。

相反，攻擊者獲取了我們 DVN 使用的 RPC 列表，攻破了其中兩個獨立節點，並更換了運行 op-geth 節點的二進制文件。由於我們的“最小權限”原則，他們無法攻破實際的 DVN 實例。然而，他們以此為跳板執行了 RPC 欺騙攻擊：

• 惡意節點使用自定義載荷向 DVN 伪造消息。

• 該節點對 DVN 撒謊，但對任何其他 IP 地址（包括我們的掃描服務和內部監測基礎設施）則報告真實信息。這種精心設計是為了防止安全監測發現異常。

• 攻擊完成後，惡意節點會自毀，禁用 RPC 並刪除惡意二進制文件及相關日誌。

此外，攻擊者還對未被攻破的 RPC 進行了 DDoS 攻擊，觸發系統切換（failover）到已投毒的 RPC 節點。結果，LayerZero Labs 營運的 DVN 實例確認了實際上從未發生的交易。

LayerZero Labs 的安全態勢

我們運行著完整的端點檢測與響應（EDR）、嚴格的存取控制、完全隔離的環境以及全系統日誌。我們的 DVN 跨自營和外部 RPC 節點運行。目前我們正處於 SOC2 審計的最後階段。

未來之路

1. DVN 恢復： LayerZero Labs DVN 已恢復運行。採用多 DVN 設置的應用可以放心恢復操作。

2. 強制遷移： 我們正在聯繫所有使用 1/1 DVN 配置的應用，要求其遷移到多 DVN 冗餘設置。LayerZero Labs DVN 將不再為任何使用 1/1 配置的應用簽署或證明消息。

3. 執法合作： 我們正與全球多個執法機構合作，並支持行業夥伴和 Seal911 追蹤資金。

總結

我們要明確一點：LayerZero 協議本身在整個事件中運行完全符合預期。 未發現協議漏洞。如果這是一個單一系統或共享安全系統，風險傳染可能會波及所有應用。LayerZero 架構的唯一定義性特徵是模組化安全，在此案例中它發揮了應有的作用——使攻擊完全隔離在單個應用中，系統內零傳染風險。

我們將繼續致力於 LayerZero 生態的安全與完整。