Kelp Drops Layerzero per Chainlink

@KelpDAO ha annunciato martedì che sta migrando l'infrastruttura di bridging rsETH dallo standard Omnichain Fungible Token (OFT) di LayerZero a @chainlinkIl protocollo di interoperabilità cross-chain (CCIP) di , a seguito di un devastante attacco del 18 aprile che ha spazzato via circa 292 milioni di dollari dal suo bridge.

Cosa è successo il 18 aprile

Il 18 aprile 2026, alcuni hacker legati al gruppo nordcoreano Lazarus hanno rubato circa 292 milioni di dollari in rsETH dal bridge LayerZero di KelpDAO. È importante sottolineare che non si è trattato di un attacco a uno smart contract, bensì di un attacco sofisticato a un'infrastruttura off-chain. LayerZero ha dichiarato che gli aggressori hanno avuto accesso all'elenco dei nodi RPC utilizzati dalla DVN di LayerZero Labs, ne hanno compromessi due e sostituito i file binari in esecuzione su di essi. Hanno quindi lanciato un attacco DDoS contro i nodi RPC non compromessi, forzando un failover verso quelli infettati. La DVN ha poi confermato transazioni che in realtà non si erano verificate.

Su LayerZero, ogni messaggio cross-chain deve essere verificato da una o più reti di verifica decentralizzate (DVN) prima che la blockchain di destinazione possa elaborarlo. rsETH è stato configurato con un singolo verificatore: la DVN di LayerZero Labs. Quel singolo punto di vulnerabilità è al centro di un'accesa disputa tra i due protocolli. KelpDAO sostiene che il personale di LayerZero abbia approvato la configurazione del verificatore 1-su-1, una decisione che LayerZero ha successivamente indicato come la ragione per cui l'attaccante è riuscito a svuotare il bridge. Tale affermazione è in contraddizione con l'analisi post-mortem di LayerZero del 19 aprile, in cui si affermava che la richiesta rsETH di Kelp si basava su LayerZero Labs come unico verificatore e che tale configurazione "contraddice direttamente" il modello multi-DVN raccomandato da LayerZero.

I contratti di ri-reset principali di Kelp non sono stati toccati e l'exploit è rimasto circoscritto al livello bridge. La sua pausa di emergenza, 46 minuti dopo il drain, ha bloccato due tentativi successivi che avrebbero liberato ulteriori 200 milioni di dollari circa in rsETH.

Passaggio a Chainlink CCIP

Kelp ha annunciato il trasferimento di rsETH da LayerZero al Cross-Chain Interoperability Protocol (CIP) di Chainlink. Questo passaggio sposta rsETH dallo standard OFT di LayerZero allo standard Cross-Chain Token di Chainlink. @chainlink Ora gestisce la validazione su oltre 20 reti su cui è distribuito rsETH. Kelp ha affermato che la mossa ha lo scopo di garantire che ethereum:0xa1290d69c65a6fe4df752f95823fae25cb99e5a7 sia completamente sicuro con un'infrastruttura che "non lascia aperti questi interrogativi".

L'incidente non è stato causato da una vulnerabilità dello smart contract. Non c'era alcun bug di reentrancy, nessun controllo di accesso mancante, nessuna manipolazione dell'oracolo dei prezzi. L'incidente di KelpDAO rappresenta qualcosa di probabilmente più pericoloso: un attacco al livello di verifica off-chain da cui dipendono molti protocolli cross-chain. Di conseguenza, LayerZero ha dichiarato che non firmerà più i messaggi per nessuna applicazione che utilizza una configurazione a singolo verificatore, imponendo una migrazione a livello di protocollo.

CoinGecko, citando i dati di Dune Analytics, ha affermato che il 47% dei circa 2,665 contratti LayerZero OApp attivi presentava una configurazione DVN 1-of-1 in un periodo di 90 giorni terminato intorno al 22 aprile, con oltre 4.5 miliardi di dollari di valore di mercato associato esposto alla stessa classe di rischio. Questa cifra sottolinea come le ripercussioni della violazione dei dati di KelpDAO si estendano ben oltre un singolo protocollo.

fonti
CoinDesk: Kelp afferma che LayerZero ha approvato la configurazione ritenuta responsabile dell'attacco hacker da 292 milioni di dollari al bridge.
Chainalysis: Analisi della vulnerabilità del bridge KelpDAO
CoinDesk: Kelp DAO sfruttata per 292 milioni di dollari con ether wrapped bloccati su 20 blockchain