跨链消息协议LayerZero正式发布调查报告，将上周发生的Kelp DAO价值2.9亿美元的攻击事件归咎于Kelp自身的安全配置缺陷。LayerZero指出，Kelp运行了一个单验证者（1-of-1）设置，而该协议此前已明确警告过此类配置的风险。攻击者被初步认定为朝鲜Lazarus集团及其子单元TraderTraitor。
攻击细节：RPC节点劫持与DDoS配合
根据LayerZero披露的技术细节，攻击并未针对协议代码本身，而是采用了针对基础设施层的新型攻击向量。攻击者首先入侵了LayerZero验证者所依赖的两个RPC节点（远程过程调用服务器），将节点上的二进制软件替换为恶意版本。这些恶意节点能够向LayerZero的验证者报告虚假交易信息，同时对其他系统查询保持正常响应，从而规避监控。
由于LayerZero的验证者还查询了其他未受入侵的外部RPC节点，攻击者同步发起了分布式拒绝服务攻击（DDoS），迫使验证者故障转移到被劫持的节点。日志显示DDoS攻击发生在太平洋时间周六10:20至11:40之间。一旦故障转移触发，恶意节点向验证者报告一条有效的跨链消息已到达，导致Kelp的桥接合约释放了116,500枚rsETH（约2.9亿美元）给攻击者。随后恶意节点软件自毁，清除了二进制文件和本地日志。
根本原因：单验证者配置成致命弱点
LayerZero强调，此次攻击之所以成功，完全是因为Kelp采用了1-of-1验证者配置，即LayerZero Labs是唯一负责验证rsETH桥接出入消息的实体。LayerZero的公开集成清单及与Kelp的直接沟通中，均明确建议使用多验证者设置，要求多个独立验证者达成共识才能确认消息。在这种配置下，单个验证者的数据被污染不足以伪造有效消息。
“KelpDAO选择了使用1/1 DVN配置，”LayerZero在报告中写道，“一个适当加固的配置本应要求多个独立DVN达成共识，即使任何单一DVN被攻破，此类攻击也无法奏效。”
LayerZero确认，此次攻击未蔓延至协议上的任何其他应用。所有采用多验证者设置的OFT标准代币及应用均未受影响。目前LayerZero Labs验证者已恢复在线，该公司宣布将不再为任何运行1-of-1配置的应用签署消息，强制全协议迁移至多验证者设置。
市场影响与风险定价
此次事件对DeFi风险定价具有重要启示。如果是协议级漏洞，意味着每条链上的每个OFT代币都可能面临风险；但此次事件表明，问题出在单个集成者的配置失误，加上针对性的基础设施攻击，反而证明LayerZero协议本身按设计运行，Kelp的安全选择（而非LayerZero的代码）创造了攻击入口。这或将促使DeFi协议重新评估自身安全配置，尤其对运行单验证者设置的项目产生警示。
值得注意的是，Lazarus集团在短短18天内通过两种截然不同的攻击向量从DeFi领域盗取了超过5.75亿美元：4月1日的Drift协议攻击利用社会工程学攻破治理签名者，而4月18日的Kelp攻击则通过基础设施RPC劫持。该集团正在以比DeFi协议加固防御更快的速度调整其攻击手法，对整个行业构成持续性威胁。
截至发稿，Kelp DAO尚未对LayerZero的陈述做出公开回应，也未解释为何在明确建议下仍坚持使用1-of-1验证者配置。