2026-04-20来源：LayerZero；编译：金色财经 Cla2026 年 4 月 18 日，流动性质押项目 KelpDAO 遭遇史上罕见的大规模攻击，损失约 2.9 亿美元，其核心资产 rsETH 被恶意伪造并在 DeFi 市场套现，引发 Aave 等平台巨额坏账。LayerZero 官方发布调查报告，直指事件根源为 KelpDAO 单一 DVN（去中心化验证网络）的高危配置，并披露攻击来自朝鲜 Lazarus Group（TraderTraitor 分支）的国家级黑客组织。以下从事件核心、背景、过程与应对等维度，深度拆解此次安全事件。
一、事件核心：单 DVN 配置 —— 致命的单点故障
1.1 事件概况
- 时间：2026 年 4 月 18 日
- 损失：约 2.9 亿美元，涉及 116,500 枚 rsETH 恶意铸造
- 攻击者：高度复杂的国家级黑客组织，锁定朝鲜 Lazarus Group（TraderTraitor 分支）
- 直接原因：KelpDAO 在 LayerZero 跨链配置中采用 1/1 单 DVN 设置，仅依赖 LayerZero Labs 作为唯一验证者，完全无视官方推荐的多 DVN 冗余模型。
- 风险范围：完全隔离于 rsETH 配置，其他 LayerZero 生态资产与应用无传染风险。
1.2 LayerZero 模块化安全架构：可配置，但非无责
LayerZero 采用模块化、应用自定义的安全模型，DVN 负责验证跨链消息完整性。协议不强制统一配置，由项目方自主选择 DVN 组合与冗余阈值。官方最佳实践：强制采用多 DVN 多样性冗余设置，避免单一验证者成为信任与故障单点。KelpDAO 明知故犯，多次收到风险提示仍坚持单 DVN 配置，直接导致攻击无任何屏障。
二、攻击过程：国家级黑客的精密 RPC 投毒战术
此次攻击非协议漏洞、非 DVN 私钥泄露，而是针对 LayerZero Labs DVN 下游 RPC 基础设施的定向投毒与欺骗，步骤极具隐蔽性与破坏性：
- 侦察与入侵：黑客获取 DVN 依赖的 RPC 节点列表，攻破其中 2 个独立节点，替换 op-geth 运行二进制文件；因 LayerZero “最小权限” 设计，攻击者无法侵入 DVN 核心实例。
- RPC 欺骗伪造消息：恶意节点向 DVN 发送伪造跨链消息；对其他 IP（含监控系统）返回真实数据，规避检测。
- DDoS 触发故障转移：对未被攻破的正常 RPC 实施 DDoS，迫使系统切换至已投毒节点。
- 恶意验证通过：DVN 基于中毒 RPC 数据，确认 “虚假交易”，导致 rsETH 被恶意铸造并跨链转移。
- 攻击后自毁：恶意节点禁用 RPC、删除恶意文件与日志，彻底销毁痕迹。
三、事件根源：KelpDAO 的配置失误与安全漠视
3.1 单 DVN：将安全命脉完全交于单点
KelpDAO 的 OApp 配置为 1/1 DVN，无任何独立验证者复核伪造消息。若采用多 DVN，攻击需同时控制多个独立验证节点，难度呈指数级提升。
3.2 无视风险提示：安全建议形同虚设
LayerZero 及外部安全团队多次明确警示单 DVN 的高危性，推荐至少 2/2 多签配置，但 KelpDAO 未采纳，最终付出惨痛代价。
3.3 结果：无背书 rsETH 流入 DeFi，引发连锁坏账
黑客将伪造 rsETH 存入 Aave V3 作为抵押，借出约 2.5 亿美元 WETH/ETH，导致 Aave 以太坊主网与 Arbitrum 链出现巨额坏账，Aave 紧急冻结 rsETH 市场以止损。
四、LayerZero 安全态势与应对措施
4.1 自身安全：协议无漏洞，架构隔离有效
- 协议本身无任何代码漏洞，模块化安全设计使攻击仅局限于 KelpDAO，未扩散至生态。
- LayerZero 部署 EDR、严格访问控制、隔离环境与全链路日志，正处于 SOC2 审计收尾阶段。
4.2 应急处置
- DVN 恢复：已弃用所有受感染 RPC 节点，LayerZero Labs DVN 重新上线，多 DVN 项目可恢复运营。
- 强制迁移：要求所有 1/1 DVN 配置项目限期迁移至多 DVN 冗余设置；LayerZero Labs DVN 将不再为单 DVN 应用签名。
- 执法与资金追踪：联合全球执法机构、行业伙伴及 Seal911，全力追踪被盗资金，打击链上洗钱行为（黑客使用 Tornado Cash 混币，资金追踪难度大）。
五、总结：DeFi 安全的核心 —— 拒绝单点，敬畏规则
KelpDAO 事件是 国家级攻击 + 项目方安全配置失误 的典型案例，教训深刻：
- 模块化安全≠免责：LayerZero 允许自定义安全配置，但项目方必须遵循多 DVN 冗余的行业铁律，单 DVN 等同于裸奔。
- 国家级攻击成新常态：黑客手段从合约漏洞转向基础设施层（RPC / 节点）投毒，隐蔽性更强、破坏力更大，需升级防御体系。
- 安全无小事，漠视必遭殃：无视官方风险提示、简化安全配置，最终将导致不可逆的资产损失。
此次事件再次证明：LayerZero 模块化安全架构有效隔离风险，但项目方的安全意识与配置决策，才是跨链资产安全的第一道，也是最关键的防线。
所有评论