Gli hacker della DPRK prosciugano 292 milioni di dollari dal KelpDAO Bridge in un attacco LayerZero
Un attacco legato alla Corea del Nord ai server interni di LayerZero ha prosciugato 116.500 rsETH — circa 292 milioni di dollari — dal ponte KelpDAO il 18 aprile 2026. LayerZero ha successivamente ammesso di aver consentito a un singolo verificatore di garantire il trasferimento di alto valore, una configurazione che ha definito un errore.
Gli attaccanti nordcoreani hanno trascorso sei settimane all'interno dell'infrastruttura di LayerZero prima di prosciugare 292 milioni di dollari
La violazione che ha svuotato il ponte cross-chain KelpDAO il 18 aprile 2026 è iniziata sei settimane prima. Il 6 marzo, uno sviluppatore di LayerZero Labs ha clonato un repository GitHub malevolo, installando malware FLATROOF e ROOFDECK su un dispositivo aziendale. Il malware ha fornito agli attaccanti accesso remoto e ha permesso loro di raccogliere le chiavi di sessione per l'infrastruttura di chiamata a procedura remota (RPC) di LayerZero.
Le aziende di cybersecurity Mandiant e CrowdStrike hanno attribuito l'attacco con alta fiducia a UNC4899, noto anche come TraderTraitor — un gruppo di minaccia legato allo stato nordcoreano. Il totale rubato è stato 292 milioni di dollari ai prezzi di mercato nel giorno della violazione, secondo il rapporto finale sugli incidenti di LayerZero pubblicato il 18 maggio 2026.
Un messaggio cross-chain contraffatto ha rilasciato 116.500 rsETH dopo che un singolo nodo verificatore è stato compromesso
L'architettura di LayerZero si basa su reti di verificatori decentralizzati (DVN) per confermare che i messaggi cross-chain siano legittimi prima che i contratti del ponte rilascino fondi. Il 18 aprile, gli attaccanti hanno iniettato codice malevolo in due dei cluster di server RPC interni di LayerZero. Il codice iniettato ha fatto sì che quei server restituissero uno stato blockchain contraffatto al servizio di firma DVN, mentre apparivano normali agli strumenti di monitoraggio.
Contemporaneamente, gli attaccanti hanno lanciato un attacco di negazione del servizio distribuito contro il fornitore RPC esterno di LayerZero. Questo ha costretto il DVN a tornare esclusivamente sui due nodi interni compromessi. Il DVN ha prodotto un'attestazione valida per un messaggio cross-chain contraffatto, e il contratto del ponte Ethereum ha rilasciato 116.500 rsETH — il token di restaking liquido di KelpDAO — all'indirizzo dell'attaccante. Nessun'altra applicazione sulla rete LayerZero è stata colpita.
LayerZero ammette di non aver monitorato come il proprio verificatore ha garantito trasferimenti di alto valore
Il ponte KelpDAO aveva precedentemente operato con due DVN richiesti per attestare ogni messaggio — una configurazione 2-di-2. Era stato cambiato per richiedere solo un verificatore, il LayerZero Labs DVN stesso, creando un unico punto di fallimento. LayerZero ha inizialmente attribuito la responsabilità alla scelta di configurazione di KelpDAO. Ha invertito quella posizione l'8 maggio 2026.
"Abbiamo commesso un errore consentendo al nostro DVN di agire come un DVN 1/1 per transazioni di alto valore. Non abbiamo controllato cosa stava garantendo il nostro DVN, il che ha creato un rischio che semplicemente non vedevamo. Ci assumiamo la responsabilità.", 8 maggio 2026. — LayerZero Labs
A seguito dell'ammissione, LayerZero ha dichiarato che il suo DVN non avrebbe più firmato attestazioni per alcuna applicazione che utilizzasse una configurazione 1-di-1. I parametri predefiniti del protocollo su tutti i percorsi sono stati elevati a un minimo di 3-di-3 verificatori.
Il Protocollo Solv sposta 700 milioni di dollari in infrastruttura di ponte Bitcoin tokenizzati lontano da LayerZero
Il Protocollo Solv, che gestisce prodotti Bitcoin tokenizzati, ha annunciato che migrerà oltre 700 milioni di dollari in infrastruttura di ponte lontano da LayerZero dopo aver condotto una revisione della sicurezza. Kelp ha anche migrato il suo ponte rsETH lontano dallo standard di Token Fungibili Omnichain di LayerZero a un protocollo cross-chain alternativo. Entrambi gli annunci sono seguiti dalla divulgazione pubblica dell'exploit e dall'ammissione di colpa di LayerZero.
Gli standard di sicurezza dei ponti DeFi sono sotto esame mentre Ethereum assorbe le conseguenze
Ethereum è stato scambiato a 1.980 dollari al momento della pubblicazione, in calo del 5,5% negli ultimi sette giorni (CoinPaprika, 2 giugno 2026). L'ecosistema DeFi di Ethereum ospita la maggior parte dell'infrastruttura di ponte cross-chain per valore totale bloccato e sta rivalutando le assunzioni di sicurezza a seguito dell'incidente.
La violazione di KelpDAO ha esposto un rischio che si estende oltre LayerZero da solo. Qualsiasi ponte che si affida a un singolo verificatore per attestare messaggi cross-chain di alto valore porta un'esposizione strutturale equivalente. Il Consiglio di Sicurezza di Arbitrum ha bloccato 30.766 ETH in fondi a valle collegati all'attaccante il 20 aprile 2026, limitando parzialmente l'impatto di mercato più ampio della violazione.
Fonte primaria: Fonte ↗
Le criptovalute sono altamente volatili e comportano un rischio significativo. Potresti perdere parte o tutto il tuo investimento.
Tutte le informazioni su Coinpaprika sono fornite solo a scopo informativo e non costituiscono consulenza finanziaria o di investimento. Esegui sempre la tua ricerca (DYOR) e consulta un consulente finanziario qualificato prima di prendere decisioni di investimento.
Coinpaprika non è responsabile per eventuali perdite derivanti dall'uso di queste informazioni.