LayerZero выпустила официальный стейтмент по эксплойту KelpDAO и заявила, что инцидент был полностью изолирован в конфигурации rsETH от KelpDAO.

По версии LayerZero, причиной атаки стала компрометация downstream RPC-инфраструктуры, которую использовала DVN-нода LayerZero Labs. Компания утверждает, что сам протокол LayerZero, key management и базовая архитектура не были взломаны, а проблема возникла из-за того, что KelpDAO использовала 1-of-1 DVN setup с LayerZero Labs как единственным верификатором.

LayerZero отдельно подчёркивает, что ранее рекомендовала integrators использовать multi-DVN redundancy и диверсификацию валидаторов, а конфигурация KelpDAO этому противоречила. Также компания утверждает, что заражённые RPC были заменены, LayerZero Labs DVN уже снова работает, а угрозы распространения на другие OFT/OApp и cross-chain assets нет.

При этом Zach Rynes, Community Liaison в Chainlink, выступил с жёсткой критикой этого стейтмента. По его словам, LayerZero перекладывает ответственность на KelpDAO, хотя скомпрометирована была именно инфраструктура DVN-ноды LayerZero Labs, а формулировки про “zero contagion” и “worked as designed” выглядят как попытка damage control, а не полноценный postmortem.

Его позиция сводится к тому, что LayerZero должна в первую очередь объяснить, как была скомпрометирована её собственная инфраструктура, а не обвинять downstream-пользователя в том, что тот доверился официальному verifier setup, который сама же LayerZero поддерживала до хака.

Источник:
https://x.com/LayerZero_Core/status/2046081551574983137

https://x.com/ChainLinkGod/status/2046105500509675918