LayerZero ने $292M KelpDAO शोषण का विवरण दिया और ब्रिज सुरक्षा को मजबूत किया

LayerZero Labs ने KelpDAO ब्रिज हमले पर अपनी घटना रिपोर्ट जारी की है, जिसमें कहा गया है कि हमलावरों ने इसके सत्यापन नेटवर्क द्वारा उपयोग किए जाने वाले RPC इंफ्रास्ट्रक्चर को दूषित करने के बाद लगभग $292 मिलियन का rsETH चुरा लिया और सिंगल-साइनर कॉन्फ़िगरेशन के संबंध में नीति परिवर्तन के लिए मजबूर किया।

LayerZero Labs ने KelpDAO शोषण का विस्तृत विवरण प्रकाशित किया है, जिसमें पुष्टि की गई है कि हमलावरों ने KelpDAO के क्रॉस-चेन कॉन्फ़िगरेशन में उपयोग की जाने वाली सत्यापन परत से जुड़े डाउनस्ट्रीम इंफ्रास्ट्रक्चर से समझौता करके लगभग 116,500 rsETH, जिसकी कीमत लगभग $292 मिलियन है, चुरा लिए।

कंपनी ने कहा कि यह घटना KelpDAO के rsETH सेटअप तक सीमित थी क्योंकि एप्लिकेशन LayerZero Labs के साथ एकमात्र सत्यापनकर्ता के रूप में 1-of-1 DVN कॉन्फ़िगरेशन पर निर्भर था, एक ऐसा डिज़ाइन जिसके बारे में LayerZero ने कहा कि यह इसकी स्थायी सिफारिश के सीधे विरुद्ध था कि एप्लिकेशन रिडंडेंसी के साथ विविधीकृत मल्टी-DVN सेटअप का उपयोग करें।

अपने बयान में, LayerZero ने कहा कि "किसी अन्य क्रॉस-चेन संपत्ति या एप्लिकेशन पर शून्य संदूषण" था, यह तर्क देते हुए कि प्रोटोकॉल की मॉड्यूलर सुरक्षा वास्तुकला ने विस्फोट त्रिज्या को समाहित किया, भले ही एकल एप्लिकेशन-स्तरीय कॉन्फ़िगरेशन विफल हो गया।

हमला कैसे काम किया

LayerZero की रिपोर्ट के अनुसार, 18 अप्रैल, 2026 के हमले ने LayerZero प्रोटोकॉल, की मैनेजमेंट या DVN सॉफ़्टवेयर का शोषण करने के बजाय LayerZero Labs DVN द्वारा उपयोग किए जाने वाले RPC इंफ्रास्ट्रक्चर को लक्षित किया।

कंपनी ने कहा कि हमलावरों ने DVN द्वारा उपयोग किए जाने वाले RPCs की सूची तक पहुंच प्राप्त की, अलग-अलग क्लस्टर पर चलने वाले दो नोड्स से समझौता किया, op-geth नोड्स पर बाइनरी को बदल दिया, और फिर दुर्भावनापूर्ण पेलोड का उपयोग करके सत्यापनकर्ता को जाली लेनदेन डेटा फीड किया जबकि आंतरिक मॉनिटरिंग सेवाओं सहित अन्य एंडपॉइंट को सत्य डेटा लौटाया।

शोषण को पूरा करने के लिए, हमलावरों ने असमझौता किए गए RPC एंडपॉइंट पर DDoS हमले भी किए, जिससे दूषित नोड्स की ओर फेलओवर हो गया और LayerZero Labs DVN को उन लेनदेन की पुष्टि करने की अनुमति मिली जो वास्तव में कभी हुए ही नहीं थे।

बाहरी फोरेंसिक कार्य उस विवरण से काफी हद तक मेल खाता है। Chainalysis ने कहा कि उत्तर कोरिया के Lazarus Group, विशेष रूप से TraderTraitor से जुड़े हमलावरों ने स्मार्ट कॉन्ट्रैक्ट बग का शोषण नहीं किया, बल्कि सिंगल-पॉइंट-ऑफ-फेलियर सत्यापन सेटअप में आंतरिक RPC नोड्स को दूषित करके और बाहरी को अभिभूत करके एक क्रॉस-चेन संदेश को जाली बनाया।

सुरक्षा परिवर्तन

LayerZero ने कहा कि तत्काल प्रतिक्रिया में सभी प्रभावित RPC नोड्स को बंद करना और बदलना, LayerZero Labs DVN को संचालन में बहाल करना और कानून प्रवर्तन एजेंसियों से संपर्क करना शामिल था, साथ ही चोरी हुए फंड का पता लगाने के लिए उद्योग भागीदारों और Seal911 के साथ काम करना भी शामिल था।

इससे भी महत्वपूर्ण बात यह है कि कंपनी जोखिम भरे कॉन्फ़िगरेशन को संभालने के तरीके को बदल रही है। बयान में, LayerZero ने कहा कि उसका DVN "1/1 कॉन्फ़िगरेशन का उपयोग करने वाले किसी भी एप्लिकेशन से संदेशों पर हस्ताक्षर या प्रमाणित नहीं करेगा," यह एक प्रत्यक्ष नीति बदलाव है जिसका उद्देश्य KelpDAO विफलता मोड की पुनरावृत्ति को रोकना है।

कंपनी अभी भी 1/1 कॉन्फ़िगरेशन का उपयोग करने वाली परियोजनाओं से उन्हें रिडंडेंसी के साथ मल्टी-DVN मॉडल पर माइग्रेट करने के लिए संपर्क कर रही है, प्रभावी रूप से यह स्वीकार करते हुए कि बिना प्रवर्तित सुरक्षा रेल के कॉन्फ़िगरेशन लचीलापन व्यवहार में बहुत अनुमेय था।

एट्रिब्यूशन तस्वीर भी स्पष्ट हुई है। Chainalysis ने इस शोषण को उत्तर कोरिया के Lazarus Group और विशेष रूप से TraderTraitor से जोड़ा, जबकि Nexus Mutual ने कहा कि जाली संदेश ने 46 मिनट से भी कम समय में KelpDAO के ब्रिज से $292 मिलियन निकाल लिए, जिससे यह 2026 के सबसे बड़े DeFi नुकसानों में से एक बन गया।

परिणाम क्रॉस-चेन इंफ्रास्ट्रक्चर के लिए एक परिचित लेकिन क्रूर सबक है: स्मार्ट कॉन्ट्रैक्ट बरकरार रह सकते हैं और प्रोटोकॉल व्यवहार में तब भी विफल हो सकता है जब ऑफ-चेन ट्रस्ट परत काफी कमज़ोर हो। LayerZero अब यह साबित करने की कोशिश कर रहा है कि $292 मिलियन की ब्रिज चोरी से सही सीख यह नहीं है कि मॉड्यूलर सुरक्षा विफल हुई, बल्कि यह है कि किसी को भी सिंगल-साइनर सेटअप चलाने देना ही असली गलती थी।