» LayerZero возложила ответственность за эксплойт Kelp DAO на собственную конфигурацию безопасности компании Дата публикации:20.04.2026, 12:46 107 107 Скопировать Поделись с друзьями! LayerZero возложила ответственность за эксплойт Kelp DAO стоимостью 290 000 000 долларов на собственную конфигурацию безопасности Kelp, заявив, что протокол перераспределения ликвидности использует настройку с одним верификатором, против чего ранее выступал LayerZero.
В атаке использовался новый вектор, который нацелен на уровень инфраструктуры, а не на какой-либо код протокола.
Злоумышленники, которых LayerZero предварительно определяет как северокорейскую Lazarus Group и ее подразделение TraderTraitor, скомпрометировали два узла удаленного вызова процедур (RPC), на которые верификатор LayerZero полагался для подтверждения межсетевых транзакций.
Узлы RPC — это серверы, которые позволяют программному обеспечению читать и записывать данные в блокчейн, а верификатор LayerZero использовал сочетание внутренних и внешних узлов для резервирования.
Злоумышленники заменили двоичное программное обеспечение, которое работает на двух из этих узлов, вредоносными версиями, предназначенными для того, чтобы сообщить верификатору LayerZero о том, что произошла мошенническая транзакция, продолжая при этом сообщать точные данные всем остальным системам, которые запрашивают те же самые узлы.
Эта выборочная ложь была разработана для того, чтобы сделать атаку невидимой для собственной инфраструктуры мониторинга LayerZero, которая запрашивает одни и те же RPC с разных IP-адресов.
Скомпрометировать два узла было недостаточно. Верификатор LayerZero также опрашивал не скомпрометированные внешние узлы RPC, поэтому злоумышленники провели распределенную атаку типа «отказ в обслуживании», чтобы принудительно переключиться на зараженные узлы.
Журналы трафика, которыми поделился LayerZero, показывают, что DDoS-атаки происходили в субботу с 10:20 до 11:40 по тихоокеанскому времени. Как только сработало аварийное переключение, скомпрометированные узлы сообщили проверяющему, что пришло действительное межсетевое сообщение, и мост Kelp передал злоумышленникам 116 500 rsETH. Затем вредоносное программное обеспечение узла самоуничтожилось, удалив двоичные файлы и локальные журналы.
Атака сработала только потому, что Kelp запустил конфигурацию верификатора 1 из 1. Это означает, что LayerZero Labs была единственной организацией, которая проверяет сообщения, поступающие и исходящие от моста rsETH.
Контрольный список общедоступной интеграции LayerZero и прямые сообщения с Kelp рекомендовали настройку нескольких верификаторов с избыточностью, при которой для подтверждения сообщения потребуется консенсус между несколькими независимыми верификаторами. В такой конфигурации отравления канала данных одного верификатора было бы недостаточно для подделки действительного сообщения.
«KelpDAO решила использовать конфигурацию 1/1 для DVN, — написал LayerZero, используя термин протокола для децентрализованных сетей верификации. — Правильно усиленная конфигурация потребовала бы консенсуса между несколькими независимыми DVN, что сделало бы эту атаку неэффективной даже в случае взлома какой-либо одной DVN».
LayerZero заявила, что подтвердила отсутствие заражения любого другого приложения протокола. Никакие токены и приложения стандарта OFT, использующие настройки с несколькими верификаторами, не были затронуты.
Верификатор LayerZero Labs снова подключен к сети, и компания заявила, что больше не будет подписывать сообщения для любого приложения, работающего в конфигурации «1/1», что приводит к миграции всего протокола с установок с одним верификатором.
Архитектурное различие имеет значение для того, как в будущем DeFi оценивает риски LayerZero.
Ошибка на уровне протокола подразумевала бы, что каждый токен OFT в блокчейне потенциально находится под угрозой. Однако сбой конфигурации со стороны одного интегратора в сочетании с целенаправленной инфраструктурной атакой означает, что протокол работал так, как задумано, и что выбор безопасности Kelp, а не код LayerZero, создал брешь.
Kelp еще публично не отреагировал на формулировку LayerZero и не объяснил, почему он использует настройку верификатора «1 из 1», несмотря на явные рекомендации против этого.
Lazarus Group была связана с эксплойтом Drift Protocol 1 апреля, а теперь и со взломом Kelp 18 апреля. Это означает, что одно и то же северокорейское подразделение вытащило более 575 000 000 долларов из DeFi за 18 дней с помощью двух структурно разных векторов атак: подписантов системы управления социальной инженерией в Drift и отравления инфраструктуры RPC в Kelp.
Группа адаптирует свою стратегию быстрее, чем протоколы DeFi укрепляют свою защиту.