- KelpDAO erklärt, dass die eigene DVN-Infrastruktur von LayerZero am 18. April kompromittiert wurde, was zu Verlusten von über 300 Millionen US-Dollar im DeFi-Bereich führte.
- Unabhängige Forscher bestätigten, dass der Angriff innerhalb der Vertrauensgrenze von LayerZero seinen Ursprung hatte und nicht auf einen Konfigurationsfehler von Kelp zurückzuführen ist.
- KelpDAO migriert rsETH zu Chainlink CCIP und verweist dabei auf die siebenjährige Erfolgsbilanz von Chainlink, das über 30 Billionen US-Dollar an Werten sichert.
KelpDAO hat die Darstellung von LayerZero zu einem Exploit vom 18. April öffentlich in Frage gestellt, der Verluste von über 300 Millionen US-Dollar im DeFi-Bereich verursachte.
Das Protokoll veröffentlichte einen detaillierten Beitrag, in dem es sich auf unabhängige Sicherheitsforscher, interne Kommunikation und On-Chain-Daten berief.
KelpDAO hält daran fest, dass die eigene Infrastruktur von LayerZero kompromittiert wurde und nicht ein Konfigurationsfehler auf Kelps Seite vorlag.
Das Team hat seitdem eine vollständige Migration zu Chainlinks Cross-Chain Interoperability Protocol (CCIP) für die Sicherheit von rsETH angekündigt.
LayerZero-Infrastrukturverstoß zieht unabhängige Prüfung nach sich
Am 18. April 2026 nutzten Angreifer die DVN-Infrastruktur von LayerZero aus und entzogen DeFi-Protokollen über 300 Millionen US-Dollar.
KelpDAO erkannte zwei weitere gefälschte Transaktionen im Wert von insgesamt 100 Millionen US-Dollar und pausierte seine Verträge, bevor weiterer Schaden entstand.
Die Reaktion von LayerZero, die über 34 Stunden später veröffentlicht wurde, führte den Vorfall auf einen RPC-Spoofing-Angriff zurück. Unabhängige Forscher von SEAL 911 und anderen kamen jedoch zu dem Schluss, dass der Verstoß innerhalb der eigenen Vertrauensgrenze von LayerZero seinen Ursprung hatte.
Ein Sicherheitsforscher erklärte, dass der LayerZero-Angriff kein RPC-Poisoning war, sondern ein Infrastrukturverstoß innerhalb des Perimeters.
Ein anderer Bericht stellte fest, dass die einzig erforderliche DVN die mit Etherscan gekennzeichnete LayerZero DVN war, was den wahrscheinlichen Fehlerbereich erheblich eingrenzte.
Die Bewertung von SEAL 911 bestätigte zudem, dass Bedrohungsakteure, die mit hoher Wahrscheinlichkeit mit der DVRK in Verbindung stehen, betrügerisch eine Bestätigung von der LayerZero DVN auslösten.
Angreifer kompromittierten zwei RPC-Knoten, die von LayerZeros DVN verwendet wurden, und führten dann einen DDoS-Angriff auf die verbleibenden Knoten durch. Dies zwang die DVN-Unterzeichner, eine nicht existierende Transaktion zu validieren.
LayerZeros eigener Postmortem räumte ein, dass Angreifer Zugriff auf die RPC-Listen seiner DVN erlangten und Knoten-Binärdateien austauschten: „Der Angreifer konnte auf die Liste der RPCs zugreifen, die unsere DVN verwendet, zwei davon kompromittieren und die Binärdateien der laufenden op-geth-Knoten austauschen.“
After the recent LayerZero exploit, we are taking steps to ensure rsETH is fully secure, which is why we are migrating to @chainlink CCIP.
From the April 18 incident, it is clear that LayerZero's own infrastructure was exploited, resulting in $300M in losses across DeFi.… https://t.co/beIrfZZLlh
— Kelp (@KelpDAO) May 5, 2026
Darüber hinaus zeigten Dune-Analysedaten, dass etwa 47 % der LayerZero OApp-Verträge eine 1-1 DVN-Einrichtung verwendeten. Über 90 % aller LayerZero-Nachrichten in den vorausgegangenen 90 Tagen waren auf die LayerZero Labs DVN angewiesen.
Dies widersprach direkt einer Aussage von LayerZeros Bryan vom Dezember 2024, der behauptete, dass keine Anwendung eine 1-1 LayerZero DVN-Einrichtung verwende, zu einem Zeitpunkt, als rsETH etwa 200 Millionen US-Dollar an TVL unter genau dieser Konfiguration hielt.
KelpDAO verweist auf genehmigte Konfigurationen und wechselt zu Chainlink
KelpDAO erklärte, dass seine 1-1 DVN-Einrichtung ausdrücklich von einem Teammitglied von LayerZero Labs über Telegram genehmigt wurde.
Über 2,5 Jahre und acht dokumentierte Integrationsgespräche hinweg hat LayerZero diese Konfiguration nie als Sicherheitsrisiko gekennzeichnet. Das Team stellte außerdem fest, dass die eigene Schnellstartdokumentation von LayerZero immer noch standardmäßig eine 1-1 Einrichtung verwendet, ohne dass eine optionale DVN konfiguriert ist.
Forscher wiesen auch darauf hin, dass die Standard-Gasolina-AWS-Bereitstellung von LayerZero ein öffentliches Gateway ohne IAM-Authentifizierung, WAF oder IP-Whitelists freigab.
Ein Bericht stellte fest, dass „das Quorum explizit auf 1 gesetzt ist“, was bedeutet, dass Backup-RPCs nur als Failover dienten und keine Multi-Provider-Konsens boten.
Ein anderer Forscher beobachtete, dass „RPCs meist öffentliche Endpunkte sind“, was bestätigt, dass die Referenzbereitstellung keine mehreren Anbieter zur Konsensfindung verwendete.
Das Protokoll hat nun damit begonnen, rsETH zu Chainlink CCIP und seinem Cross-Chain-Token-Standard zu migrieren. Chainlinks Oracle-Netzwerk hat in über sieben Jahren Transaktionen im Wert von über 30 Billionen US-Dollar ermöglicht.
KelpDAO wies darauf hin, dass Chainlink während mehrerer globaler Ausfälle voll funktionsfähig blieb, was es zu einer zuverlässigeren Infrastrukturwahl für die Zukunft macht.
KelpDAO äußerte auch Bedenken hinsichtlich gemeinsamer administrativer Rollen zwischen der LayerZero Labs DVN und der Nethermind DVN.
Zehn überlappende Adressen besaßen zum 8. April die ADMIN_ROLE auf beiden Verträgen. Das Team argumentierte, dass diese Überschneidung die Frage aufwerfe, ob die DVNs tatsächlich unabhängig voneinander operieren.
Ein vollständiger forensischer Bericht wird folgen, sobald die Überprüfung abgeschlossen ist. Die Sicherung der Benutzervermögen bleibt die unmittelbare Priorität des Teams.
Schreibe einen Kommentar