DPRKハッカーがLayerZero攻撃でKelpDAOブリッジから2億9200万ドルを奪取

北朝鮮の攻撃者は292百万ドルを奪取する前にLayerZeroのインフラ内で6週間を過ごした

2026年4月18日にKelpDAOクロスチェーンブリッジを空にした侵害は、6週間前に始まりました。3月6日、LayerZero Labsの開発者が悪意のあるGitHubリポジトリをクローンし、FLATROOFおよびROOFDECKマルウェアを会社のデバイスにインストールしました。このマルウェアは攻撃者にリモートアクセスを提供し、LayerZeroのリモートプロシージャコール（RPC）インフラのセッションキーを収集することを可能にしました。

サイバーセキュリティ企業MandiantおよびCrowdStrikeは、この攻撃を高い確信を持ってUNC4899、別名TraderTraitor — 北朝鮮の国家関連の脅威グループに帰属させました。盗まれた総額は、侵害当日の市場価格で2億9200万ドルであると、LayerZeroの最終的なインシデントレポートに記載されています（2026年5月18日公開）。

単一の検証者ノードが侵害された後、偽造されたクロスチェーンメッセージが116,500 rsETHを放出した

LayerZeroのアーキテクチャは、クロスチェーンメッセージが正当であることを確認するために分散型検証者ネットワーク（DVN）に依存しています。2026年4月18日、攻撃者はLayerZeroの内部RPCサーバークラスターの2つに悪意のあるコードを注入しました。注入されたコードは、これらのサーバーがDVN署名サービスに偽造されたブロックチェーン状態を返すようにし、監視ツールには通常のように見えるようにしました。

同時に、攻撃者はLayerZeroの外部RPCプロバイダーに対して分散型サービス拒否攻撃を開始しました。これにより、DVNは完全に2つの侵害された内部ノードに戻ることを余儀なくされました。DVNは偽造されたクロスチェーンメッセージに対して有効な証明を生成し、Ethereumブリッジ契約は116,500 rsETH — KelpDAOの流動的リステーキングトークン — を攻撃者のアドレスに放出しました。LayerZeroネットワーク上の他のアプリケーションには影響がありませんでした。

LayerZeroは自社の検証者が高額な送金をどのように確保していたかを監視できなかったことを認める

KelpDAOのブリッジは、以前は各メッセージを証明するために2つのDVNが必要な2-of-2構成で運用されていました。しかし、単一の検証者、すなわちLayerZero Labs DVN自体のみを必要とするように変更され、単一障害点が生じました。LayerZeroは当初、KelpDAOの構成選択に責任を帰属させましたが、2026年5月8日にその立場を逆転させました。

"私たちは、高額な取引のために自社のDVNが1/1 DVNとして機能することを許可したことで誤りを犯しました。私たちは自社のDVNが何を確保しているのかを監視しておらず、それが見えないリスクを生じさせました。私たちはそれを受け入れます。", 2026年5月8日。 — LayerZero Labs

この認識の後、LayerZeroはそのDVNが1-of-1構成を使用するアプリケーションのために証明を署名しないことを発表しました。すべての経路におけるプロトコルのデフォルトは、最低でも3-of-3の検証者に引き上げられました。

Solv Protocolが700百万ドルのトークン化されたビットコインブリッジインフラをLayerZeroから移行

トークン化されたビットコイン製品を管理するSolv Protocolは、セキュリティレビューを実施した後、LayerZeroから700百万ドル以上のブリッジインフラを移行することを発表しました。KelpもLayerZeroのOmnichain Fungible Token標準から別のクロスチェーンプロトコルにrsETHブリッジを移行しました。両方の発表は、脆弱性の公表とLayerZeroの過失の認識に続いて行われました。

Ethereumが影響を吸収する中でDeFiブリッジのセキュリティ基準が精査される

Ethereumは発表時点で1,980ドルで取引されており、過去7日間で5.5%下落しています（CoinPaprika、2026年6月2日）。より広範なEthereum DeFiエコシステムは、ロックされた総価値によってクロスチェーンブリッジインフラの大部分をホストしており、事件を受けてセキュリティの仮定を再評価しています。

KelpDAOの侵害は、LayerZeroだけにとどまらないリスクを露呈しました。高額なクロスチェーンメッセージを証明するために単一の検証者に依存するブリッジは、同等の構造的な露出を持っています。Arbitrum Security Councilは、2026年4月20日に攻撃者に関連する下流資金の30,766 ETHを凍結し、侵害のより広範な市場への影響を部分的に制限しました。

主な情報源: ソース ↗