LayerZero Labs offener Brief versucht, Versäumnisse rund um den KelpDAO-Hack zu erklären

LayerZero Labs hat einen offenen Brief veröffentlicht, in dem das Unternehmen seine Kommunikations- und Betriebsfehler im Zusammenhang mit dem KelpDAO-Hack durch die Lazarus Group erläutert. Der Cyberangriff beeinträchtigte nicht das Protokoll von LayerZero Labs, betraf jedoch dessen interne Systeme, was das Unternehmen dazu veranlasste, Fehler in früheren Abläufen einzugestehen. 

LayerZero Labs veröffentlichte seinen Entschuldigungsbrief am 08.05.2026. 

LayerZero räumt früheren Missbrauch der Multi-Unterschriften Wallet ein 

Um den 19.04.2026 griff die Lazarus Group die internen RPC-Knoten von LayerZero Labs an, die von ihrem DVN-Netzwerk genutzt wurden. Die Angreifer manipulierten die Vertrauensquelle dieser internen RPCs und starteten gleichzeitig einen DDoS-Angriff gegen den externen RPC-Anbieter von LayerZero Labs. LayerZero stellte klar, dass das LayerZero-Protokoll während dieses Vorfalls nicht beeinträchtigt wurde.

Wie von Cryptopolitan berichtet, betraf der Hack nur eine einzige Anwendung, was 0,14 % aller LayerZero-Apps und 0,36 % des Gesamtwerts der auf der Plattform überbrückten Assets entspricht. Der Einbruch führte zu dem auf KelpDAO abzielenden rsETH-Exploit im Wert von 300 Millionen US-Dollar. 

In der Entschuldigung kommentierte LayerZero Labs auch ein weiteres Sicherheitsproblem, das vor dreieinhalb Jahren aufgetreten war. In einem Fall nutzte ein Unterzeichner die für Multi-Unterschriften-Transaktionen vorgesehene Hardware-Wallet für eine Einzeltransaktion beim Handel mit dem McPepes Meme-Coin auf Uniswap über seine persönliche Wallet. 

Ein Unterzeichner wurde ersetzt, Wallets wurden ausgetauscht, und Maßnahmen wurden ergriffen, um ähnliche Vorfälle in Zukunft zu verhindern.

Dies stand im direkten Widerspruch zu früheren öffentlichen Aussagen von LayerZero-Mitgründer Bryan Pellegrino, der solche Aktivitäten weniger als 24 Stunden zuvor als normales „OFT-Testing" bezeichnet hatte. Einige Nutzer wiesen auf die Diskrepanz hin und stellten fest, dass die betreffenden Meme-Coins schon seit geraumer Zeit in zahlreichen Transaktionen derselben Multi-Unterschriften Wallet beobachtet worden waren. 

Wie von Cryptopoltan berichtet, stellte LayerZero klar, dass ihr Multi-Unterschriften-Mechanismus nur die Kontrolle über die Endpoint-Funktionalität erlaubt, einschließlich der Chain-Hinzufügung und der Aktualisierung von Test-Standardwerten.

LayerZero fordert Entwickler zu besserer Sicherheitsarbeit auf

LayerZero hat seine grundlegende Architektur bekräftigt, die darauf ausgelegt ist, einzelne Fehlerquellen zu eliminieren, die bei traditionellen Bridges häufig vorkommen. Jede Anwendung kann ihre eigene End-to-End-Sicherheit unabhängig verwalten, ohne sich auf LayerZero Labs verlassen zu müssen. 

Das Unternehmen empfahl Entwicklern, konkrete Schritte zu unternehmen: alle Konfigurationen zu fixieren, um von LayerZero Labs kontrollierte Standardeinstellungen zu vermeiden; Block-Bestätigungen auf jeder Chain zu erhöhen, um Reorganisationsrisiken zu minimieren; DVNs mit mindestens zwei (vorzugsweise drei bis fünf) unabhängigen Parteien zu konfigurieren; und den Betrieb eines eigenen erforderlichen DVN in Betracht zu ziehen.

Das Unternehmen hat auch einige Annahmen zu Vertrauen und Verfügbarkeit aufgeführt. Die Standard-Anwendungen und DVNs von LayerZero Labs, die auf einen einzelnen Verifizierer angewiesen sind, stützen sich vollständig auf das Vertrauen in LayerZero Labs' Multi-Unterschriften Wallet. Gas-Relay-Dienste, wie Essence und LayerZero-Executors, beeinflussen nur die Verfügbarkeit.

Nach dem Vorfall unterstützt LayerZero Labs DVN nicht mehr in der 1/1-Konfiguration; stattdessen wurden die Pfad-Standardwerte, wo möglich, auf 5/5- oder 3/3-Konfigurationen aktualisiert, und die Entwicklung eines DVN-Clients in Rust ist im Gange.

DeFi-Auswirkungen des LayerZero-Einbruchs 

Die Reaktion auf den Angriff stieß sofort auf Kritik, da zunächst versucht wurde, die Verantwortung auf die Partner abzuwälzen. KelpDAO und Solv Protocol haben ihre Systeme bereits auf Chainlink umgestellt, und Beefy, Ethena, BitGo, Lombard und viele andere überdenken ihre Integrationen. 

Es bestehen Bedenken hinsichtlich rückläufiger Bridge-Transaktionsvolumina, Stargate-Einnahmen und $ZRO-Token-Rückkäufen.

LayerZero Labs verpflichtete sich als Reaktion auf den Angriff zu 5.000 ETH für den DeFi United-Rettungsplan und weiteren 5.000 ETH zur Aufrechterhaltung der Liquiditätspools von Aave. Dennoch löste der Vorfall eine breitere Diskussion über die Sicherheit in Cross-chain-Protokollen aus, trotz der ausgesprochenen Entschuldigung und dem Versprechen, den Multi-Unterschriften-Schwellenwert zu verbessern, der mit OneSig auf 7/10 festgelegt ist.

LayerZero Labs betont, dass das Protokoll weiterhin ein unverzichtbares Instrument für die Durchführung sicherer und umfangreicher Transaktionen bleibt, aber es wird notwendig sein, die nächsten Wochen abzuwarten, um zu sehen, wie sich Entwickler und Organisationen positionieren.

Ihre Bank nutzt Ihr Geld. Sie erhalten nur die Krümel. Sehen Sie sich unser kostenloses Video darüber an, wie Sie Ihre eigene Bank werden