一场围绕2.9亿美元被盗的“甩锅大战”正在加密世界激烈上演。Kelp DAO准备公开发声，驳斥跨链消息协议LayerZero此前的事后分析报告——该报告将此次攻击归咎于Kelp选择“单一验证者”配置。但Kelp手握证据，直指LayerZero的默认设置才是真正的罪魁祸首。
事件回顾：2.9亿美元从桥接层蒸发
上周六，攻击者从Kelp DAO基于LayerZero构建的跨链桥中盗走了116,500枚rsETH（价值约2.9亿美元）。攻击手法是：入侵了LayerZero用于验证跨链交易的服务器，然后向备用服务器发送垃圾流量，迫使验证者切换到已被控制的服务器上。Kelp声明称，所有被攻陷的基础设施均由LayerZero建造和运营，而非第三方验证者。Kelp的核心再质押合约未被触及，攻击仅限于桥接层；其在事发46分钟后紧急暂停，阻止了后续两次提取尝试，避免额外约2亿美元rsETH被盗。
Kelp的反击：LayerZero的“默认”就是1/1配置
LayerZero在事后分析中指出，Kelp选择了“1-of-1 DVN”设置（即单一验证者签名即可通过跨链消息），忽视了建议的多重DVN冗余配置。但Kelp的回应更为强硬：他们通过自2024年7月就与LayerZero保持的直接沟通渠道，从未收到任何要求更改rsETH DVN配置的具体建议。更关键的是，LayerZero的官方Quickstart指南和GitHub默认配置文件都指向1/1 DVN设置。据知情人士透露，目前LayerZero上约40%的协议都使用相同的单一验证者配置。Kelp还指出，LayerZero的V2 OApp Quickstart示例代码直接使用了1/1结构。
这直接动摇了LayerZero的指责基础：如果“最佳实践”是多重验证，为什么官方默认代码本身就是单一验证？Kelp认为这是LayerZero自身设计缺陷导致的后果，而非客户配置失误。
安全社区站队：LayerZero在“转移责任”
业内安全专家也并不认同LayerZero的孤立定性。Yearn Finance核心开发者@banteg在X上发布了技术分析，指出LayerZero的公开部署代码在所有主要链（Ethereum、BSC、Polygon、Arbitrum、Optimism）上均默认使用单源验证，并且暴露了一个公共端点，任何人都可以查询到配置的服务器列表。banteg表示无法证明Kelp使用了哪种配置，但注意到LayerZero通常要求新运营商使用其默认设置——正是事后分析中被批评的那种设置。
Chainlink社区经理Zach Rynes更是直言不讳，指责LayerZero“转移责任”，利用自己已被攻陷的基础设施来谴责一个信任其默认设置的合作伙伴。这场论战已从技术层面扩展到行业信任层面。
市场影响与教训：跨链安全标准面临重塑
事件发生后，LayerZero宣布将不再为任何运行单一验证者设置的应用签名消息，迫使协议全面迁移至多验证者架构。这一举措将对现有依赖LayerZero的DeFi项目产生深远影响：迁移成本、审计延迟、用户体验变化都可能引发短期流动性波动。对于Kelp而言，虽然核心协议未受损，但其声誉和用户信任度受到冲击，rsETH可能面临折价压力。
更深层的教训是：当跨链基础设施的“默认设置”成为高危入口时，整个DeFi生态的安全基线需要重新定义。开发者不应盲目信任协议文档中的默认配置，审计机构也应将跨链验证配置列为高风险项。此次事件再次证明：跨链桥故障不仅是单一协议问题，而是整个组合性金融系统最脆弱的环节之一。
截至发稿时，CoinDesk未能联系上LayerZero获得评论。行业正在等待一场更加公开透明的技术辩论，以及LayerZero是否会对默认配置做出根本性修改。