LayerZero تصدر تقريرًا استقصائيًا: تحليل الأسباب المباشرة وعمليات الاختراق لـ KelpDAO

بيان حول حادثة هجوم KelpDAO

2026-04-18، تعرضت KelpDAO لهجوم، وخسائر تقدر بحوالي 290 مليون دولار. تشير الأدلة الأولية إلى أن الهجوم نابع من منظمة قرصنة عالية التعقيد على مستوى الدولة، ومن المرجح أن تكون مجموعة لازاروس الكورية الشمالية (فرع TraderTraitor بالتحديد). الحادث مقتصر فقط على تكوين rsETH الخاص بـ KelpDAO، والسبب المباشر هو اعتمادها على إعداد DVN واحد (شبكة التحقق اللامركزية). لا توجد مخاطر انتقالية على الأصول أو التطبيقات عبر السلاسل الأخرى.

الهجوم شديد التعقيد استهدف البنية التحتية لRPC (النداء عن بعد) التابعة لمزود خدمة DVN الخاص بـ LayerZero Labs. حاليًا، تم إيقاف جميع عقد RPC المتأثرة واستبدالها، وأعيد تشغيل DVN الخاص بـ LayerZero Labs.

نشارك هذه التفاصيل بهدف مساعدة المجتمع على فهم وتجنب هذا النوع من الهجمات الجديدة المدعومة من قبل الدول.

الخلفية: الهيكل الأمني المعياري لـ LayerZero

يعتمد بروتوكول LayerZero على بنية أمنية معيارية وقابلة للتكوين من قبل التطبيق. شبكات التحقق اللامركزية (DVNs) هي كيانات مستقلة مسؤولة عن التحقق من سلامة رسائل السلسلة عبر السلاسل. من المهم جدًا أن البروتوكول لا يفرض تكوين أمني موحد. بدلاً من ذلك، يمنح كل تطبيق ومرخص إصدار الأصول القدرة على تحديد وضعه الأمني الخاص، بما في ذلك الاعتماد على أي DVN، وكيفية الجمع بينها، وتحديد عتبات التكرار.

أفضل الممارسات الصناعية — وهي أيضًا التوصية الواضحة التي تقدمها LayerZero لجميع الشركاء المدمجين — هي تكوين إعدادات DVN متعددة ومتنوعة مع تكرار لضمان الأمان. هذا يعني أن أي DVN فردي لا ينبغي أن يمثل نقطة ثقة أو نقطة فشل أحادية الجانب.

النطاق وحالة الانتقال: مقتصر على rsETH

قمنا بمراجعة شاملة لنشاطات التكامل على بروتوكول LayerZero. يمكننا التأكيد بثقة أنه لا يوجد خطر انتقالي على أي أصول أو تطبيقات أخرى. الحادث نجم تمامًا عن إعداد DVN واحد لـ KelpDAO، وهو معزول عن تكوين rsETH الخاص بها.

التطبيق المتأثر هو rsETH الذي تصدره KelpDAO. عند وقوع الحادث، كان تكوين OApp الخاص بها يعتمد على إعداد DVN “1 من 1”، مع اعتماد حصري على LayerZero Labs كمحقق وحيد — وهو تكوين يخالف تمامًا نموذج التكرار متعدد DVN الذي توصي به LayerZero دائمًا. إعداد نقطة فشل واحدة يعني عدم وجود محقق مستقل لالتقاط ورفض الرسائل المزورة. سابقًا، أبلغت LayerZero وغيرها من المؤسسات الخارجية KelpDAO بأفضل الممارسات لتنوع DVN، ومع ذلك اختارت KelpDAO استخدام تكوين DVN 1/1.

لو تم اعتماد تكوين تعزيز معقول، لكان على المهاجمين أن يتفقوا عبر عدة DVNs مستقلة، وحتى لو تم اختراق أي DVN واحد، فسيكون الهجوم غير فعال.

سير الحادث

في 18 أبريل 2026، أصبح DVN الخاص بـ LayerZero Labs هدفًا لهجوم معقد للغاية. قام المهاجمون بتعديل أو “تسميم” البنية التحتية لـRPC التابعة، واخترقوا عددًا من عقد RPC التي تعتمد على التصويت (Quorum) للتحقق من المعاملات. لم يتم ذلك عبر ثغرة في البروتوكول، أو DVN نفسه، أو خلل في إدارة المفاتيح.

بدلاً من ذلك، حصل المهاجمون على قائمة RPC التي نستخدمها، واخترقوا عقدتين مستقلتين، وبدلوا ملفات الثنائيات التي تشغل عقد op-geth. وبفضل مبدأ “أقل الامتيازات” الذي نتبعه، لم يتمكنوا من اختراق نسخة DVN الفعلية. ومع ذلك، استغلوا ذلك لتنفيذ هجوم خداع RPC:

• عقد خبيثة تستخدم حمولة مخصصة لتزوير رسائل إلى DVN.

• تلك العقد تكذب على DVN، لكنها تقدم معلومات حقيقية لأي عناوين IP أخرى (بما في ذلك خدمات المسح الخاصة بنا والبنية التحتية للمراقبة الداخلية). هذا التصميم الدقيق يهدف إلى منع اكتشاف الاختراق من قبل أنظمة الأمان.

• بعد إتمام الهجوم، تقوم العقد الخبيثة بحذف نفسها، وتعطيل RPC، وحذف الملفات الثنائية الخبيثة والسجلات ذات الصلة.

بالإضافة إلى ذلك، شن المهاجمون هجمات DDoS على RPC غير المخترقة، مما أدى إلى فشل النظام (failover) إلى عقد RPC التي تم تسميمها. ونتيجة لذلك، أكد نظام DVN الذي تديره LayerZero Labs أن معاملات لم تحدث أبدًا في الواقع.

الوضع الأمني لـ LayerZero Labs

نحن ندير نقاط نهاية كاملة للكشف والاستجابة (EDR)، وتحكم صارم في الوصول، وبيئة معزولة تمامًا، وسجلات نظام كاملة. تعمل عقد DVN الخاصة بنا عبر الشبكة الداخلية والخارجية. نحن الآن في المرحلة النهائية من تدقيق SOC2.

الطريق المستقبلي

1. استعادة DVN: تم استعادة تشغيل DVN الخاص بـ LayerZero Labs. يمكن للتطبيقات التي تعتمد على إعداد DVN متعدد أن تستأنف عملياتها بأمان.

2. الترحيل القسري: نحن نتواصل مع جميع التطبيقات التي تستخدم إعداد DVN 1/1، ونطلب منها الترحيل إلى إعداد تكرار متعدد DVN. لن تقوم LayerZero Labs بتوقيع أو إثبات صحة الرسائل من أي تطبيق يستخدم إعداد 1/1 بعد الآن.

3. التعاون مع الجهات القانونية: نحن نتعاون مع العديد من الجهات القانونية العالمية، وندعم الشركاء في الصناعة وSeal911 في تتبع الأموال.

الخلاصة

نريد أن نوضح أن بروتوكول LayerZero نفسه عمل بشكل كامل ومتوقع خلال الحادث. لم يتم اكتشاف أي ثغرة في البروتوكول. إذا كان هناك نظام واحد أو نظام أمان مشترك، فربما كانت مخاطر الانتقال ستؤثر على جميع التطبيقات. الميزة الوحيدة لبنية LayerZero هي الأمان المعياري، وفي هذه الحالة لعبت دورها بشكل فعال — حيث تم عزل الهجوم تمامًا داخل تطبيق واحد، مع عدم وجود مخاطر انتقال داخل النظام.

سنواصل العمل على أمن وسلامة نظام بيئة LayerZero.