クロスチェーンメッセージングプロトコルを提供するLayerZero（レイヤーゼロ）は20日、先日発生したKelp DAO（ケルプDAO）のrsETH流出事件について、詳細な分析報告「KelpDAO Incident Statement」を公開した。同社は攻撃を北朝鮮のラザルスグループ、特にTraderTraitorとして知られるサブグループによるものである可能性が高いと指摘。事件の根本原因は、Kelp DAOが業界のベストプラクティスに反して単一のDVN（検証者ネットワーク）構成を採用していたことにあるとの見解を示した。

関連：Kelp DAO、約466億円のrsETH流出──2026年最大のDeFiハッキング被害

攻撃手法の詳細──RPCインフラへのポイズニングとDDoS

レイヤーゼロによると、今回の攻撃はプロトコルやDVN、鍵管理への直接的な侵害ではなく、レイヤーゼロのDVNが依存する下流のRPC（リモートプロシージャコール）インフラを標的にしたものだった。

攻撃者はまずDVNが使用するRPCリストへのアクセスを獲得し、独立したクラスター上で稼働していた2つのop-gethノードのバイナリを差し替えた。ただし最小権限原則により、DVNインスタンス自体への侵入は防がれた。

悪意のあるノードはDVNに対してのみ偽の情報を返す一方、他のIPアドレスからのRPCリクエストには正しい情報を返す設計になっていた。これはセキュリティ監視や観測インフラから異常を検出されないよう意図的に設計されており、攻撃完了後には悪意のあるバイナリやログを自己削除する仕組みも組み込まれていた。

さらに攻撃者は、汚染されていないRPCノードに対してDDoS攻撃を実施。冗長化されたRPCのフェイルオーバー機能を悪用し、汚染されたRPCへの切り替えを強制した。攻撃は太平洋時間で4月18日10時20分から11時40分の間に行われた。

Kelp DAOの単一DVN構成が根本原因──LayerZeroは複数DVNを推奨

レイヤーゼロが特に強調したのが、Kelp DAOのセキュリティ構成の不備だ。同プロトコルは、各アプリケーションや資産発行者が独自のセキュリティ構成を定義できる「モジュラーセキュリティ」を採用している。業界のベストプラクティスおよびレイヤーゼロの公式推奨は、複数のDVNを冗長性を持たせて構成する「マルチDVN構成」である。

しかしKelp DAOは、事件発生時にレイヤーゼロを唯一の検証者とする「1-of-1 DVN構成」を採用していた。これは単一障害点となる構成であり、独立した検証者による偽メッセージの拒否が不可能だった。

レイヤーゼロは声明の中で、「レイヤーゼロおよび外部関係者は以前からKelp DAOにDVNの多様化に関するベストプラクティスを伝えていたが、Kelp DAOは1/1 DVN構成を選択していた」と明言。適切に強化された構成であれば、単一DVNが侵害されても攻撃は成立しなかったと指摘している。

他アプリへの波及はゼロ──LayerZeroは今後1/1構成を拒否

レイヤーゼロはプロトコル上のすべてのアクティブな統合を包括的に調査した結果、他のアセットやアプリケーションへの波及はゼロであると確認したと発表した。今回の事件はKelp DAOのrsETH構成にのみ限定されたものだという。

今後の対応として、レイヤーゼロは以下の方針を示した。まず、レイヤーゼロのDVNは既に運用を再開しており、複数DVN構成を採用しているアプリケーションは安心して運用を継続できる。1/1 DVN構成のアプリケーションに対しては、複数DVN構成への移行を要請している。そして、レイヤーゼロのDVNは今後、1/1 DVN構成を採用するアプリケーションからのメッセージについては一切署名・認証しない方針だ。

また、世界各地の法執行機関と直接連絡を取り、調査に協力しているほか、セキュリティ団体Seal911と共に資金追跡を支援している。

レイヤーゼロは声明を「レイヤーゼロプロトコル自体は今回の事象を通じて意図通りに機能した。プロトコルに脆弱性は一切確認されていない。モジュラーセキュリティ設計の本質は、攻撃が単一のアプリケーションに隔離され、システム全体への伝染リスクがゼロに抑えられる点にある」と締めくくった。

一連の声明は、クロスチェーンインフラのセキュリティ責任がプロトコル側とアプリケーション側のどちらにあるかという業界的な議論にも一石を投じるものとなっている。

関連：北朝鮮の暗号資産詐欺グループ、チャット記録が流出──月間約1.5億円規模の詐欺スキーム判明
関連：ソラナDEX456億円流出は北朝鮮系の半年がかりの諜報作戦＝公式発表