Kelp, 292 milyon dolarlık köprü saldırısından sorumlu tuttuğu kurulumu LayerZero'nun onayladığını iddia ediyor

Kelp DAO, LayerZero personelinin 1-of-1 doğrulayıcı kurulumu onayladığını iddia ediyor; LayerZero ise bu kararı, Kuzey Kore bağlantılı bir saldırganın sebep olduğu olayı gerekçe olarak göstermiştir yaklaşık 292 milyon dolar çekti Kelp'in rsETH köprüsünden.

İddia, LayerZero'nun anlayışıyla çelişiyor19 Nisan sonrası değerlendirme, Kelp’in rsETH başvurusunun tek doğrulayıcı olarak LayerZero Labs'e dayandığını ve bu yapının LayerZero'nun önerdiği çoklu DVN modelini 'doğrudan çelişkilendirdiğini' belirtti.

Kelp'in notunda, LayerZero personelinin 2,5 yıldan uzun süre boyunca yapılandırmalarını incelediği ve sekiz entegrasyon görüşmesinde, 1-of-1 kurulumunun önemli bir güvenlik riski oluşturduğuna dair herhangi bir uyarı yapmadığı belirtiliyor.

“LayerZero Köprü Saldırısı Hakkında Gerçeklerin Düzgün Bir Şekilde Belirtilmesi” başlıklı not, LayerZero’nun Kelp’in doğrulayıcı kurulumundan haberdar olduğunu ve itiraz etmediğini belgeleyen Telegram yazışmalarının ekran görüntülerini içermektedir.

Bir ekran görüntüsü, bir LayerZero ekibi üyesinin şöyle dediğini gösteriyor: “Varsayılanları kullanmakta da sorun yok — sadece burada [sansürlü] kişiyi etiketliyorum çünkü mesajları doğrulamak için özel bir DVN kurulumu kullanmak isteyebileceğinizi söyledi, ama bunu ekibinize bırakacağım!” Kelp, değiş tokuşta bahsedilen “varsayılanların”, daha sonra LayerZero tarafından kötüye kullanıma olanak tanıyan uygulama düzeyindeki kurulum olarak gösterilen 1-of-1 LayerZero Labs DVN yapılandırması olduğunu belirtiyor.

CoinDesk ekran görüntüsünü bağımsız olarak doğrulayamadı.

LayerZero’un şablonları

Kelp ayrıca LayerZero'nun hata ödülü kapsamına, OFT Quickstart ve geliştirici örneklerine, LayerZero'nun doğrulayıcı-ağ seçimlerini uygulama düzeyi yapılandırması olarak ele aldığını ve geliştiricilere tek DVN kurulumunu gösterdiğine dair kanıt olarak işaret ediyor.

LayerZero'nun yayınlanmış hata ödülü kapsamı Immunefi, doğrulayıcı ağlar ve yürütücüler dahil olmak üzere, kendi yanlış yapılandırmalarından kaynaklanan OApp'lerin kendilerine yönelik etkileri ödüllerden hariç tutmaktadır.

The LayerZero OFT Hızlı Başlangıç ve resmi OFT örnek yapılandırması GitHub üzerinde LayerZero Labs'i zorunlu DVN olarak gösteriyor, opsiyonel DVN belirlenmemiş.

Kelp'in notu, bir belirtmektedir19 Nisan gönderisi Spearbit güvenlik araştırmacısı Sujith Somraaj’dan, Somraaj’ın aynı saldırı desenini tanımlayan bir hata ödül raporu sunduğunu ve LayerZero’nun bunu reddettiğini belirttiği açıklama.

"Hata ödülüm: açık değil, tüm DVN'leri gerektiriyor," diye yazdı Somraaj X üzerinde. "Onların dağıtımı: 'tüm' kısmını kaldırıyor. Hackerlar: bunun yerine 295 milyon dolarlık ödül topluyor." Somraaj, önceki bir LayerZero denetçisidir, Cantina profili.

Kelp, Chainlink'e Taşınıyor

Kelp ayrıca rsETH’yi LayerZero’dan Chainlink’in ağına taşıdığını duyurdu.Çapraz Zincir Birlikte Çalışabilirlik Protokolü. Bu değişiklik, rsETH'yi LayerZero'nun OFT standardından Chainlink'in Zincirlerarası Token standardına taşımaktadır.

Saldırı, yaklaşık 292 milyon dolar değerinde 116.500 rsETH'yi Kelp’in LayerZero destekli köprüsünden çekti. Protokole göre, Kelp sözleşmelerini durdurmadan önce LayerZero Labs DVN tarafından toplamda 100 milyon dolardan fazla değere sahip iki ek sahte işlem imzalandı ve işlendi.

LayerZero dedi ki saldırganlar muhtemelen Kuzey Kore'nin Lazarus Grubu ile bağlantılıdır; bu grup, LayerZero Labs DVN tarafından kullanılan RPC listesini ele geçirmiş, iki RPC düğümüne zarar vermiş ve üzerinde çalışan ikili dosyaları değiştirmiştir.

Saldırganlar daha sonra ele geçirilmemiş RPC düğümlerine karşı bir DDoS saldırısı başlatarak, sistemin zehirlenmiş düğümlere geçiş yapmasına zorladı. LayerZero, DVN’nin ardından gerçekleşmemiş işlemleri onayladığını belirtti.

Kelp, 1-of-1 kurulumun yaygın olduğunu savunuyor. CoinGecko, Dune Analytics verilerine atıfta bulunarak, yaklaşık 2.665 aktif LayerZero OApp sözleşmesinin %47'sinin, 22 Nisan civarında sona eren 90 günlük bir dönemde 1-of-1 DVN yapılandırması kullandığını ve ilişkili piyasa değerinin 4,5 milyar doların üzerinde olduğunu, aynı risk sınıfına maruz kaldığını belirtti.

LayerZero'nun ölüm raporu, protokolün "tam olarak amaçlandığı gibi işlediğini" belirtti. Şirket, hack olayından sonra yürürlüğe giren bir politika değişikliğiyle, 1-of-1 konfigürasyonu kullanan herhangi bir uygulama için artık mesaj imzalamayacağını duyurdu.

Kelp, ekibinin LayerZero'yu istismardan önce uyarmak zorunda kaldığını iddia ederek, LayerZero'nun denetimi konusunda soru işaretleri oluşturdu.

Not kapsamında, LayerZero Labs DVN ve Nethermind DVN üzerinde ADMIN_ROLE yetkisi verilen adreslerin önemli ölçüde çakıştığı iddia edilmekte olup, 8 Nisan 2026 tarihinde on adet ve 6 Şubat 2025 tarihinde beş adet ek adres belirtilmiştir. CoinDesk, zincir üzerindeki bu iddiayı bağımsız olarak doğrulamamıştır.

LayerZero, yayına yapılan yorum talebine yanıt vermedi.

Belgelere göre, en az iki entegre zincir olan Dinari ve Skale üzerinde, LayerZero Labs DVN hâlâ mevcut tek doğrulayıcı (attestor) olarak listelenmektedir.

Bir açıklamada, LayerZero sözcüsü şu ifadeleri kullandı: "Sujith haklı, 1/1 konfigürasyonu hata ödül programının kapsamı dışındadır. Ödül programımız, uygulama seviyesi konfigürasyon tercihlerinden ziyade LayerZero protokolündeki güvenlik açıklarına odaklanmaktadır. Aksi takdirde, herhangi bir uygulama kötü niyetle ödül toplamak için kendisini tek DVN olarak ayarlayabilir. OFT Varsayılanları ve GitHub örneklerine gelince: protokol varsayılanları neredeyse tüm yollar boyunca çoklu DVN’dir. Şablonlarda 1-of-1 konfigürasyonu kullanıldığı durumlarda ise, mesajları reddeden ve geliştiricileri canlıya geçmeden önce güvenlik yapısını düzgün şekilde yapılandırmaya yönlendiren 'DeadDVN' sözleşmesine işaret eder. Kelp'in LayerZero’nun varsayılan konfigürasyonlarını kullandığı iddiası doğru değildir. Çoklu DVN dağıttılar ve ardından manuel olarak 1/1’e düşürdüler."

GÜNCELLEME (5 Mayıs 2026, 22:22 UTC): LayerZero açıklaması eklendi.