Kelp DAO与跨链互操作协议LayerZero之间，围绕约2.92亿美元rsETH桥接攻击事件的责任归属，正出现公开且尖锐的分歧。Kelp最新发布的备忘录称，其rsETH桥所采用的1-of-1 verifier配置并非团队单方面误设，而是在长达2.5年以上、共8次集成讨论中被LayerZero相关人员知悉，且未被明确提示存在重大安全风险。这一说法，直接挑战了LayerZero此前的事故复盘结论。
双方争议焦点：1-of-1配置究竟是谁的责任？
根据Kelp的说法，LayerZero在4月19日的事后分析中，将漏洞利用的关键原因归结为Kelp的rsETH应用仅依赖LayerZero Labs作为唯一验证者，这种设计“直接违背”LayerZero推荐的多DVN模型。然而，Kelp认为，LayerZero一边将验证器网络选择定义为应用层配置，一边又在开发模板、示例和沟通中，默认展示或接受单DVN配置，这使得事后追责显得前后不一。
Kelp披露的备忘录《Setting the Record Straight Around the LayerZero Bridge Hack》附带了Telegram交流截图，试图证明LayerZero团队对这一设置早已知情。其中一段对话显示，LayerZero团队成员曾表示“使用默认设置也没有问题”，并提到是否采用自定义DVN配置可由Kelp团队自行决定。Kelp据此主张，对话中所谓“默认设置”，正是之后被LayerZero认定为导致攻击发生的1-of-1 LayerZero Labs DVN配置。不过，需要指出的是，相关截图目前尚未被媒体独立验证。
开发文档与漏洞赏金规则成争议证据
除了沟通记录，Kelp还将矛头指向LayerZero的开发者文档和漏洞赏金规则。报道显示，LayerZero在Immunefi上的漏洞赏金范围中，明确将由于OApp自身错误配置而产生的影响排除在奖励之外，其中就包括验证网络和执行器配置。与此同时，LayerZero的OFT Quickstart以及GitHub上的官方示例配置，又展示了以LayerZero Labs为必需DVN、且未设置可选DVN的方案。
Kelp认为，这意味着平台在实际开发引导中，向构建者呈现了单DVN可行的路径，但在事故发生后，又将风险全部归因于应用方配置失误。Kelp还援引Spearbit安全研究员Sujith Somraaj于4月19日的公开表态称，他此前曾提交描述相同攻击路径的漏洞赏金报告，但被LayerZero拒绝。Somraaj在X平台发文称，其报告被认定“不是漏洞，因为需要所有DVN配合”，但LayerZero的实际部署却“去掉了‘所有’这一部分”，最终让攻击者拿走了近2.95亿美元的“赏金”。
攻击过程曝光：116,500枚rsETH被转走
此次事件造成Kelp跨链桥损失116,500枚rsETH，按当时价格计算约为2.92亿美元。Kelp表示，在其暂停合约前，攻击者还曾伪造并处理另外两笔交易，总额超过1亿美元。这些交易同样得到了LayerZero Labs DVN的签名与确认。
LayerZero此前则将攻击归因于疑似与朝鲜Lazarus Group有关的黑客组织。根据其说法，攻击者首先获取了LayerZero Labs DVN所使用的RPC列表，随后攻陷其中两个RPC节点，并替换其运行二进制文件。之后，攻击者再对未受损的RPC节点发动DDoS攻击，迫使系统故障切换至已被污染的节点，最终导致DVN为从未真实发生的交易提供确认。
从技术层面看，这一事件并不意味着LayerZero底层协议代码必然失效，而是凸显出在验证节点集中、冗余不足的前提下，跨链消息确认机制可能被单点突破。LayerZero也因此在事后强调，协议“按预期运行”，并宣布不再为任何采用1-of-1配置的应用签署消息。这一政策调整是在黑客事件发生后才生效的。
Kelp转向Chainlink，市场对跨链安全再度警觉
在风波升级之际，Kelp已明确表示，将把rsETH从LayerZero迁移至Chainlink的跨链互操作协议CCIP，并从LayerZero的OFT标准切换到Chainlink的Cross-Chain Token标准。这一举措不仅是技术路线调整，也反映出项目方在重大安全事故后，对基础设施供应商信任度的重新评估。
Kelp还强调，1-of-1配置并非个别现象。根据CoinGecko援引Dune Analytics的数据，在截至4月22日前约90天内，约2,665个活跃LayerZero OApp合约中，有47%运行的是1-of-1 DVN配置，对应暴露在同类风险下的相关市值超过45亿美元。如果这一数据成立，则本次事件的影响远超单一协议失窃，而是可能对整个跨链应用生态的默认安全实践提出系统性质疑。
此外，报道还提到，Kelp声称是由其团队首先向LayerZero报告攻击，而不是LayerZero监控系统主动发现异常，这也让外界开始关注大型跨链基础设施在实时监测、异常响应和合作方支持方面是否存在短板。Kelp还进一步质疑LayerZero Labs DVN与Nethermind DVN在ADMIN_ROLE地址上存在较大重叠，不过这一链上指控同样尚未获得独立验证。
整体来看，这起事件对市场的影响主要体现在三个层面。其一，跨链桥与消息验证网络的安全模型正受到更严格审视，尤其是“默认配置是否安全”将成为开发者选择基础设施时的关键问题。其二，LayerZero作为主流跨链方案之一，若无法就开发者引导、监控机制和责任划分给出更具说服力的解释，可能面临生态伙伴流失压力。其三，Chainlink CCIP等竞争方案或因市场避险情绪而受益，跨链赛道的技术与信任格局可能随之重塑。
截至发稿，LayerZero尚未就相关最新指控作出回应。对于投资者和协议开发者而言，这场围绕责任、配置与安全边界的争议，或许比单次资金损失本身更值得警惕：在跨链系统中，所谓“应用层错误”与“平台层默认设计”之间的界线，远比想象中模糊。