BroadChain 获悉，เมื่อวันที่ 24 เมษายน เวลา 04:16 สะพาน跨链 rsETH ของ Kelp DAO ที่ใช้ LayerZero ถูกโจมตีในช่วงเช้าตรู่ของวันที่ 19 เมษายน โดยมี rsETH จำนวน 116,500 เหรียญ (ประมาณ 292 ล้านดอลลาร์สหรัฐ) ไหลออกจากเครือข่ายหลักโดยไม่มีบันทึกการทำลายที่สอดคล้องกัน ผู้โจมตีหลีกเลี่ยงตรรกะการตรวจสอบ lzReceive และปลอมแปลงข้อความ跨链เพื่อกระตุ้นการปล่อยสินทรัพย์สำรองโดยตรง ภายในหนึ่งชั่วโมง Kelp ได้ระงับสัญญา แต่หากการโจมตีเพิ่มเติมในภายหลังประสบความสำเร็จ ความเสียหายรวมจะสูงถึง 391 ล้านดอลลาร์สหรัฐ
สาเหตุหลักของการโจมตีครั้งนี้คือ Kelp ใช้การกำหนดค่าความปลอดภัยที่อ่อนแอที่สุดของ LayerZero นั่นคือ 1/1 DVN ซึ่งหมายความว่าลายเซ็นของผู้ตรวจสอบเพียงคนเดียวก็เพียงพอที่จะผ่านการตรวจสอบ Shalev Keren ผู้ร่วมก่อตั้ง Sodot บริษัทด้านความปลอดภัยทาง密码学 ระบุว่านี่คือ "จุดล้มเหลวจุดเดียว" ซึ่งไม่สามารถแก้ไขได้ด้วยการตรวจสอบบัญชี ตั้งแต่เดือนมกราคม 2025 มีทีมงานในฟอรัมการกำกับดูแลของ Aave ที่เตือนให้ขยายไปสู่การตรวจสอบหลาย DVN แต่หลังจาก 15 เดือนก็ยังไม่มีการดำเนินการ ภายหลังเหตุการณ์ LayerZero กล่าวว่าได้เร่งเร้าให้อัปเกรดหลายครั้ง และประกาศหยุดอนุมัติข้อความสำหรับแอปพลิเคชันที่ใช้ผู้ตรวจสอบเพียงคนเดียว
ผู้โจมตีนำ rsETH ที่ขโมยไปฝากไว้ในแพลตฟอร์มให้กู้ยืม เช่น Aave และ Compound และยืมสินทรัพย์จริงมูลค่ากว่า 236 ล้านดอลลาร์สหรัฐ หลังจาก Aave แช่แข็งตลาด ก็เกิดกระแสถอนเงินกว่า 10,000 ล้านดอลลาร์สหรัฐ โดยโปรโตคอลอย่างน้อย 9 แห่ง เช่น Fluid, Upshift และ Lido Earn ได้เปิดใช้งานการตอบสนองฉุกเฉิน SparkLend ได้ถอด rsETH ออกจากรายการตั้งแต่เดือนมกราคม 2026 ซึ่งเน้นย้ำถึงความแตกต่างในการรับรู้ความเสี่ยงของสินทรัพย์ประเภท LRT ในอุตสาหกรรม
LayerZero ระบุว่าการโจมตีเกิดจากกลุ่ม Lazarus ของเกาหลีเหนือ แต่ Cyvers ไม่ได้ยืนยันข้อสรุปนี้ เนื่องจากซอฟต์แวร์โหนดที่เป็นอันตรายได้ลบร่องรอยโดยอัตโนมัติ ทำให้การสืบสวนเป็นไปได้ยาก เหตุการณ์สองครั้ง (เมื่อสามสัปดาห์ก่อน Drift Protocol สูญเสีย 285 ล้านดอลลาร์สหรัฐ) แสดงให้เห็นว่า กรอบความปลอดภัยที่มีอยู่ของ DeFi ไม่สามารถรับมือกับภัยคุกคามในปัจจุบันได้อีกต่อไป อุตสาหกรรมจำเป็นต้องยกระดับระบบในด้านการออกแบบโปรโตคอล การควบคุมความเสี่ยงของหลักประกัน ความปลอดภัยในการดำเนินงาน และการแบ่งปันข่าวกรอง