LayerZero Labs เขียนจดหมายเปิดผนึกพยายามอธิบายความล้มเหลวที่เกี่ยวข้องกับการแฮ็ก KelpDAO

LayerZero Labs ได้เผยแพร่จดหมายเปิดผนึกเพื่ออธิบายความล้มเหลวด้านการสื่อสารและการดำเนินงานภายหลังการแฮ็ก KelpDAO โดยกลุ่ม Lazarus การโจมตีทางไซเบอร์ครั้งนี้ไม่ได้ส่งผลกระทบต่อโปรโตคอลของ LayerZero Labs แต่กระทบต่อระบบภายใน ทำให้บริษัทต้องยอมรับข้อผิดพลาดในการดำเนินงานที่ผ่านมา 

LayerZero Labs เผยแพร่จดหมายขอโทษเมื่อวันที่ 8 พฤษภาคม 2026 

LayerZero ยอมรับการใช้งาน multisig ในทางที่ผิดในอดีต 

ราววันที่ 19 เมษายน 2026 กลุ่ม Lazarus ได้โจมตี RPC nodes ภายในของ LayerZero Labs ซึ่งถูกใช้โดยเครือข่าย DVN ของพวกเขา ผู้โจมตีได้บิดเบือนแหล่งข้อมูลที่น่าเชื่อถือสำหรับ RPC ภายในเหล่านี้ และพร้อมกันนั้นก็ได้เปิดการโจมตี DDoS ต่อผู้ให้บริการ RPC ภายนอกของ LayerZero Labs LayerZero ชี้แจงว่าโปรโตคอล LayerZero ไม่ได้รับผลกระทบจากเหตุการณ์ครั้งนี้

ตามที่ Cryptopolitanรายงาน การแฮ็กดังกล่าวส่งผลกระทบต่อแอปพลิเคชันเพียงรายการเดียว คิดเป็น 0.14% ของแอป LayerZero ทั้งหมด และ 0.36% ของมูลค่าทรัพย์สินทั้งหมดที่ถูก bridge บนแพลตฟอร์ม การละเมิดดังกล่าวนำไปสู่การโจมตีช่องโหว่ rsETH มูลค่า 300 ล้านดอลลาร์ที่มุ่งเป้าไปที่ KelpDAO 

ในจดหมายขอโทษ LayerZero Labs ยังได้แสดงความคิดเห็นเกี่ยวกับปัญหาความปลอดภัยอีกประการหนึ่งที่เกิดขึ้นเมื่อสามปีครึ่งที่แล้ว ในกรณีหนึ่ง ผู้ลงนามได้ใช้ฮาร์ดแวร์วอลเล็ตที่ตั้งใจไว้สำหรับธุรกรรม multisig เพื่อทำธุรกรรมส่วนตัวในการซื้อขาย memecoin McPepes บน Uniswap โดยใช้กระเป๋าเงินส่วนตัวของตนเอง 

ผู้ลงนามถูกเปลี่ยนตัว กระเป๋าเงินถูกสลับ และมีการดำเนินมาตรการเพื่อป้องกันไม่ให้เกิดเหตุการณ์ลักษณะเดียวกันในอนาคต

สิ่งนี้ขัดแย้งโดยตรงกับแถลงการณ์สาธารณะก่อนหน้าของ Bryan Pellegrino ผู้ร่วมก่อตั้ง LayerZero ซึ่งได้อ้างถึงกิจกรรมดังกล่าวว่าเป็น "การทดสอบ OFT" มาตรฐานเมื่อไม่ถึง 24 ชั่วโมงก่อนหน้านี้ ผู้ใช้บางรายได้ชี้ให้เห็นความไม่สอดคล้องกันดังกล่าว โดยตั้งข้อสังเกตว่า memecoin ที่เกี่ยวข้องถูกพบเห็นในธุรกรรมจำนวนมากจากกระเป๋าเงิน multisig เดียวกันมาเป็นระยะเวลานาน 

ตามที่ Cryptopoltanรายงาน LayerZero ได้ชี้แจงว่ากลไก multisig ของพวกเขาอนุญาตให้ควบคุมได้เฉพาะฟังก์ชันการทำงานของ Endpoint เท่านั้น รวมถึงการเพิ่มเชนและการอัปเดตค่าเริ่มต้นการทดสอบ

LayerZero กดดันให้นักพัฒนาทำงานด้านความปลอดภัยให้ดียิ่งขึ้น

LayerZero ได้ย้ำถึงสถาปัตยกรรมพื้นฐานของตน ซึ่งออกแบบมาเพื่อขจัดจุดล้มเหลวเดี่ยวที่พบบ่อยใน bridge แบบดั้งเดิม ทุกแอปพลิเคชันสามารถมีความปลอดภัยแบบ end-to-end ของตนเองได้อย่างอิสระโดยไม่ต้องพึ่งพา LayerZero Labs 

บริษัทแนะนำให้นักพัฒนาดำเนินการตามขั้นตอนที่เป็นรูปธรรม ได้แก่ ตรึงการกำหนดค่าทั้งหมดเพื่อหลีกเลี่ยงการตั้งค่าเริ่มต้นที่ควบคุมโดย LayerZero Labs; เพิ่มจำนวนการยืนยันบล็อกในแต่ละเชนเพื่อลดความเสี่ยงจากการ reorganization; กำหนดค่า DVN ด้วยฝ่ายอิสระอย่างน้อยสอง (ควรสามถึงห้า) ฝ่าย; และพิจารณาดำเนินการ DVN ที่จำเป็นของตนเอง

บริษัทยังได้ระบุข้อสันนิษฐานบางประการเกี่ยวกับความไว้วางใจและความพร้อมใช้งาน แอปพลิเคชันเริ่มต้นและ DVN ของ LayerZero Labs ที่พึ่งพาผู้ตรวจสอบเพียงรายเดียวต้องอาศัยความไว้วางใจทั้งหมดจาก multisig ของ LayerZero Labs บริการถ่ายทอด Gas เช่น Essence และ LayerZero executors ส่งผลกระทบต่อความพร้อมใช้งานเท่านั้น

หลังจากเหตุการณ์ดังกล่าว LayerZero Labs ไม่รองรับ DVN ในการกำหนดค่า 1/1 อีกต่อไป แต่ได้อัปเกรดค่าเริ่มต้นของเส้นทางเป็นการกำหนดค่า 5/5 หรือ 3/3 แทน ตามความเหมาะสม และกำลังอยู่ระหว่างการพัฒนา DVN client ใน Rust

ผลกระทบต่อ DeFi จากการละเมิดของ LayerZero 

การตอบสนองต่อการโจมตีถูกวิพากษ์วิจารณ์อย่างทันทีจากความพยายามเบื้องต้นในการผลักความรับผิดชอบไปยังพาร์ทเนอร์ KelpDAO และ Solv Protocol ได้เปลี่ยนระบบของตนไปใช้ Chainlink แล้ว และ Beefy, Ethena, BitGo, Lombard และอีกหลายรายกำลังพิจารณาทบทวนการผสานรวมของตน 

มีความกังวลเกี่ยวกับปริมาณธุรกรรม bridge ที่ลดลง รายได้ของ Stargate และการซื้อคืนโทเคน $ZRO

LayerZero Labs ให้คำมั่นสัญญา 5,000 ETH สำหรับแผนการช่วยเหลือ DeFi United และอีก 5,000 ETH เพื่อรักษา liquidity pool ของ Aave เพื่อตอบสนองต่อการโจมตี อย่างไรก็ตาม เหตุการณ์นี้ได้จุดประกายการอภิปรายในวงกว้างเกี่ยวกับความปลอดภัยในโปรโตคอล cross-chain แม้จะมีการขอโทษและคำมั่นสัญญาที่จะปรับปรุง multisig threshold ซึ่งกำหนดไว้ที่ 7/10 โดยใช้ OneSig

LayerZero Labs ยืนยันว่าโปรโตคอลยังคงเป็นเครื่องมือสำคัญสำหรับการทำธุรกรรมที่ปลอดภัยและมีขนาดใหญ่ แต่จะต้องรอดูในอีกไม่กี่สัปดาห์ข้างหน้าว่านักพัฒนาและองค์กรต่างๆ จะเคลื่อนไหวอย่างไร

ธนาคารของคุณกำลังใช้เงินของคุณ คุณได้รับแค่เศษเสี้ยวเล็กน้อย ดูวิดีโอฟรีของเราเกี่ยวกับการเป็นธนาคารของตัวเอง