LayerZero 指控 Kelp 设置致 2.9 亿美元漏洞 涉朝鲜 Lazarus 攻击

LayerZero 将 Kelp DAO 2.9亿美元漏洞归咎于其单验证器配置

Kelp DAO 高达2.9亿美元的漏洞事件，责任方是谁？LayerZero的最新分析将矛头指向了Kelp自身的安全配置。根据其报告，这家流动性质押协议运行的，正是LayerZero此前曾明确警告过的单验证器设置。这起事件揭示了一条新型攻击路径：矛头并非指向协议代码本身，而是其依赖的基础设施层。

一场针对基础设施的精准“投毒”

LayerZero的初步调查将攻击者指向了朝鲜的Lazarus集团及其下属的TraderTraitor组织。他们的攻击手法相当精巧：成功攻破了LayerZero验证器用来确认跨链交易的两个远程过程调用（RPC）节点。

这里需要理解RPC节点的作用：它们是允许软件在区块链上读取和写入数据的服务器。为了确保冗余和可靠性，LayerZero的验证器混合使用了内部和外部的RPC节点。然而，攻击者替换了其中两个节点上运行的软件，植入了一个恶意版本。

这个恶意软件的设计堪称“狡猾”。它只对LayerZero的验证器“撒谎”，报告发生了欺诈交易；而对于查询相同节点的所有其他系统，它则继续提供准确数据。这种“选择性欺骗”的目的，正是为了让LayerZero自身的监控基础设施失效——因为监控系统会从不同IP地址查询相同的RPC节点，从而无法察觉异常。

DDoS攻击：完成攻击闭环的关键一步

仅仅攻陷两个节点还不够。LayerZero的验证器还会查询其他未被攻陷的外部RPC节点。于是，攻击者使出了第二招：对这些健康节点发起分布式拒绝服务（DDoS）攻击，迫使系统将流量故障转移到已被其控制的节点上。

根据LayerZero共享的流量日志，这场DDoS攻击发生在太平洋时间4月20日（周六）上午10:20至11:40之间。故障转移一旦触发，被入侵的节点便向验证者报告收到了有效的跨链消息。结果就是，Kelp的桥接器向攻击者释放了116,500枚rsETH。得手之后，恶意节点软件立即自毁，清除了所有二进制文件和本地日志，企图抹去踪迹。

核心症结：为何是单验证器配置？

那么，攻击为何能够成功？关键在于Kelp运行的是一种“1对1”的验证器配置。这意味着，LayerZero Labs是唯一有权验证与rsETH桥接之间消息的实体。换句话说，这里没有设置任何冗余的校验机制。

事实上，无论是LayerZero的公开集成清单，还是其与Kelp的直接沟通记录，都明确建议采用冗余的多验证器架构。在这种架构下，需要多个独立的验证器达成共识，才能确认一条消息。即使攻击者成功篡改了其中一个验证器的数据源，也无法单独伪造出有效消息。

LayerZero在报告中明确指出：“KelpDAO选择使用了1/1 DVN配置。”这里用的是其去中心化验证器网络的术语。报告进一步强调：“一个真正加固的配置需要多个独立DVN达成共识。在这种配置下，即使单个DVN被攻破，此次攻击也无法奏效。”

影响与后续措施

LayerZero表示，已确认协议上的任何其他应用程序均未受到此次攻击的影响。所有符合OFT标准的代币，以及那些运行多验证器设置的应用程序，都安然无恙。

目前，LayerZero Labs的验证器已恢复在线。该公司宣布了一项重要的策略调整：将不再为任何运行“1-of-1”单验证器配置的应用程序签署消息。这实质上是在强制整个协议生态从风险较高的单验证器设置进行迁移。

架构差异：风险定价的关键分水岭

这次事件凸显了一个对DeFi领域至关重要的区别：风险究竟出在哪个层面？

如果漏洞出在协议层面，那意味着每条链上所有使用该协议（如OFT代币）的应用都可能面临风险。然而，此次事件是单个集成商（Kelp）的配置失误，叠加一次有针对性的基础设施攻击。这表明LayerZero的协议代码本身运行正常，问题的根源在于Kelp所选择的安全措施。

截至当前，Kelp尚未对LayerZero的指责进行公开回应，也未解释为何在已有明确建议的情况下，仍坚持采用单验证器设置。

Lazarus集团：快速演变的威胁

值得高度警惕的是，此次攻击的幕后黑手Lazarus集团，近期活动异常频繁。该组织与4月1日的Drift Protocol漏洞事件有关，如今又牵涉4月18日的Kelp漏洞。这意味着，同一个朝鲜背景的黑客组织，在短短18天内，通过两种结构完全不同的攻击路径，从DeFi领域窃取了超过5.75亿美元的资金：一次是针对Drift的社会工程学治理签名攻击，另一次则是针对Kelp的基础设施RPC“投毒”攻击。

这清晰地揭示了一个严峻现实：攻击者调整策略、变换手法的速度，似乎比DeFi协议们加强自身防御的速度还要快。对于整个行业而言，这无疑是一记响亮的警钟。