Kelp, thông báo chuyển sang Chainlink… lại tấn công LayerZero, gọi là “biết rõ lỗ hổng an ninh nhưng vẫn giữ im lặng”

流动性质押协议 Kelp 在遭遇約 3 億美元的釣魚攻擊事件後，正式宣布將遷移至 Chainlink 跨鏈互操作性協議（CCIP）。同時，圍繞攻擊責任的 LayerZero 爭端也再度激化。

事件經過

今年 4 月 18 日，疑似與朝鮮有關聯的黑客組織 Lazarus Group 利用 Kelp 的漏洞，非法鑄造了 116,500 枚 rsETH 流動性质押以太坊代幣。隨後，攻擊者將被盜資產轉移至去中心化流動性協議 Aave，借此貸出了 106,497 枚 ETH，按當時市價計算，損失規模高達 2.92 億至 2.94 億美元。Kelp 在發現攻擊後立即暫停了所有合約，並成功阻截了後續兩筆總價值 1 億美元的可疑交易。

責任之爭

Kelp 最初將該事件定性為“對 LayerZero 基礎設施的攻擊”，但 LayerZero 方面反駁稱，Kelp 並未採用其推薦的基於多重 DVN（去中心化驗證者網絡）的配置，而是保留了存在安全隱患的“1-1”單一驗證者設置，因此責任在於 Kelp。Ripple 前 CTO David Schwartz 也加入論戰，指出 LayerZero 的安全協議本身已足夠完善，是 Kelp 出於便利考慮而未予採用。

Kelp 於周二晚間再次回應，指出目前 47% 的 OApp（全鏈應用）仍在使用同樣的“1-1”配置，且該基礎設施處理的 90% 消息僅依賴一至兩個 DVN。Kelp 強調，LayerZero 自身默認採用的正是“1-1”結構來推出並推薦 DVN，Kelp 只是遵循了其指導方針。

此外，Kelp 指責 LayerZero 在發現 DVN 被入侵後，對網絡滲透、監控缺失以及安全漏洞問題保持沉默，並指出 LayerZero 是在攻擊發生後，才停止認可“1-1”配置的簽名。

遷移至 Chainlink

為防範類似攻擊再次發生，Kelp 決定將其跨鏈安全基礎設施遷移至 Chainlink CCIP。同時，rsETH 代幣標準也將從 LayerZero 的 OFT（全鏈同質化代幣）轉換為 Chainlink 的 CCT（跨鏈代幣）標準。Kelp 表示，Chainlink 的去中心化預言機網絡相較於 LayerZero 能為跨鏈通信提供更高層級的安全基礎，核心團隊目前正就遷移工作的具體操作細節進行收尾。

另據數據顯示，儘管遭遇攻擊並出現大量資金流出，Kelp 的總鎖倉量（TVL）目前仍維持在約 16.3 億美元水平，表明社群對其仍保有顯著信心。