LayerZero: exploit de rsETH de US$290M no KelpDAO isolado por um único DVN

A LayerZero afirmou que o exploit de US$ 290 milhões ao rsETH da KelpDAO em 20 de abril não foi uma falha do protocolo LayerZero, mas um problema na camada de aplicação ligado à configuração “single-DVN” da KelpDAO. Na atualização da LayerZero, a violação foi descrita como isolada ao fluxo de rsETH da KelpDAO, com “zero contágio” para outros ativos integrados ao LayerZero. A empresa também forneceu novos detalhes operacionais e pistas de atribuição. Indicadores preliminares apontam para o Grupo Lazarus da DPRK, especificamente o subgrupo “TraderTraitor”. A LayerZero afirma que o atacante pivotou através da infraestrutura RPC dependente de DVN da LayerZero Labs: supostamente envenenou RPCs downstream, trocou binários em nós op-geth comprometidos e então usou pressão de DDoS para direcionar a verificação aos nós comprometidos enquanto recorria ao spoofing de RPC para reduzir a detecção. A LayerZero disse que suas instâncias DVN não foram comprometidas diretamente devido a controles de privilégio mínimo. Como mitigações, a LayerZero relatou que descontinuou os nós RPC afetados e parou de assinar/atestuar para configurações 1/1 (single-DVN). Está coordenando com parceiros e autoridades (incluindo Seal911) para rastrear fundos. Aave respondeu que o rsETH na mainnet Ethereum continua totalmente lastreado, mas o rsETH permanece congelado na Aave V3 e V4, com a exposição limitada. As reservas de WETH também permanecem congeladas nos mercados afetados (Ethereum, Arbitrum, Base, Mantle, Linea) enquanto a validação de dados continua. Para traders, a narrativa do exploit do rsETH desloca o risco de um amplo contágio cross-chain para o endurecimento de configurações e redundância de verificadores. No entanto, os congelamentos da Aave podem manter a liquidez do rsETH restrita no curto prazo, o que pode ampliar a volatilidade mesmo que o “zero contágio” limite os temores sistêmicos relacionados a bridges.