Kelp DAO 反駁 LayerZero：rsETH 跨鏈橋駭客案「1-of-1 驗證者默許說」掀責任攻防，45 億美元資產預設配置風險曝光

Kelp DAO 近期正面「反駁」跨鏈協議「LayerZero」，雙方圍繞「rsETH 跨鏈橋駭客攻擊」中*驗證者設定*的責任歸屬產生激烈爭議。此次事件造成約 2 億 9200 萬美元規模的 rsETH 損失，讓「跨鏈橋安全」與「誰該為設定錯誤負責」再度成為焦點。

根據多家外媒於 19 日（當地時間）的報導，爭議核心在於：LayerZero 事後將駭客入侵主因歸咎於 Kelp DAO 採用「1-of-1 DVN（單一驗證者）」結構，但 Kelp DAO 則提出聊天紀錄與技術文件，指控 LayerZero 團隊早已知悉並「默許」這種配置。

Kelp DAO 在最新公開的備忘錄中指出，LayerZero 團隊成員曾事前檢視並同意他們使用「1-of-1 驗證者(DVN)」架構。這一說法，與 LayerZero 在 4 月 19 日發布的事故報告中，將同樣的「1-of-1 結構」點名為關鍵漏洞來源的說法，形成明顯衝突。

LayerZero 在報告中強調，Kelp 的 rsETH 應用過度依賴「單一驗證者」，違背協議方一貫推薦的「多重 DVN 結構」，並將此視為整起攻擊可以得逞的主因。然而，Kelp DAO 反駁稱，在長達約 2 年半、共 8 次的整合討論中，LayerZero 從未對此架構提出任何安全性警告，甚至在公開的 Telegram 對話截圖中，還可見到類似「使用預設設定沒有問題」的表述。

爭議點在於，這裡所謂的「預設值(defaults)」，正是事後被指為高風險的「1-of-1 結構」。不過，目前相關聊天截圖尚未經過獨立第三方驗證，真實性仍有待進一步確認。

Kelp DAO 進一步將矛頭指向 LayerZero 的*開發範本與技術文檔*。在 bug bounty 範圍說明、OFT 快速入門指南以及 GitHub 範例程式碼中，Kelp 指出「單一 DVN 配置」被實務上當作「默認選項」展示，等同引導開發者採用潛藏風險的結構。更具爭議的是，LayerZero 的漏洞懸賞政策中，明文排除「應用程式設定錯誤」所造成的損失，代表驗證者網路如何配置，最終責任完全落在開發者身上。

「評論」：這種「協議只負責底層機制、安全由開發者自行把關」的切割方式，在 DeFi 與跨鏈基礎設施領域已討論多年，但這次事件把問題赤裸裸地暴露出來：當「高風險配置」以「預設範本」形式呈現時，單純以「這是開發者設定錯誤」切割責任，恐怕很難服眾。

更令社群不安的，是來自安全研究員的指控。有安全研究員蘇吉特·索姆拉吉（Sujith Somraaj）表示，他早已針對相同攻擊模式提出回報，卻遭 LayerZero 拒絕視為漏洞。他指出，在 bug bounty 階段，這類行為被認定「不構成問題」，但真正上線部署時，相關保護條件卻被移除，最終導致約 2 億 9500 萬美元規模的駭客事件，「評論」：若這一說法屬實，等同 LayerZero 對潛在風險早有耳聞，卻未在設計或文件層面及時給出明確警示。

從攻擊路徑來看，整起事件也揭示了*DVN 與 RPC 基礎設施*的脆弱點。這次駭客共轉出 11 萬 6500 枚 rsETH，約 2 億 9200 萬美元，並額外觸發超過 1 億美元等值的偽造交易。LayerZero 將幕後黑手指向與北韓有關聯的駭客組織「拉賈魯斯集團（Lazarus Group）」，稱攻擊者先鎖定 DVN 使用的 RPC 節點清單，入侵並控制其中兩個節點，以惡意二進位檔取代原有程式。

之後，攻擊者對仍保持正常的 RPC 節點發動 DDoS 攻擊，迫使系統自動切換至已被植入惡意程式的節點，藉此讓整個網路在「看似正常」的情況下，批准實際並不存在的跨鏈交易。LayerZero 強調，從協議邏輯與流程來看，「協議本身是依設計運作」，問題出在基礎設施被滲透後，協議仍信任了遭篡改的節點。事件發生後，LayerZero 已調整政策，禁止在「1-of-1」配置下對訊息進行簽名，以避免類似單點失守重演。

在信任逐漸動搖的背景下，Kelp DAO 宣布將 rsETH 相關跨鏈機制，從 LayerZero 的基礎設施全面遷移至「鏈上資料預言機」與跨鏈協議領域的另一大玩家——Chainlink(LINK) 的「跨鏈互操作性協議(CCIP)」。Kelp 強調，此次問題絕非「個案」，並引用 CoinGecko 與 Dune Analytics 數據稱，約 47% 的 LayerZero OApp 採用類似的「1-of-1 DVN 結構」，約 45 億美元資產曾暴露在相同風險之下。

Kelp 也聲稱，自家團隊在 LayerZero 官方之前，更早偵測到可疑活動，對 LayerZero 的監控與通報機制提出質疑。「評論」：若跨鏈基礎設施供應商在風險偵測與事件通報上落後於依賴其基礎設施的應用方，市場對其「可信中介」角色勢必會進一步打折。

這場圍繞 rsETH 駭客事件的爭議，讓「協議設計責任」與「應用設定責任」這一老問題被再次放到檯面上。當高風險結構出現在「預設範本」與官方教學文件中，協議是否仍能將所有後果推給開發者，已成為產業內部關注焦點。此次事件不僅動搖了部分開發者對 LayerZero 的*信任*，也為整個跨鏈橋領域敲響警鐘，迫使市場重新檢視跨鏈協議在*結構性風險*與*營運責任邊界*上的界線，未來類似基礎設施在*預設安全配置*與*文件透明度*上的要求，勢必將被推向更高標準。