LayerZero steht wegen seines Umgangs mit dem jüngsten 290-Millionen-Dollar-Exploit bei KelpDAO massiv in der Kritik. Das Omnichain-Interoperabilitätsprotokoll hat KelpDAOs Verwendung einer 1-von-1-Verifier-Konfiguration für den Vorfall verantwortlich gemacht.
Am vergangenen Wochenende wurde das Liquid-Restaking-Protokoll KelpDAO angegriffen, was zum Verlust von über 290 Millionen Dollar in rsETH führte. Die Angreifer nutzten eine Schwachstelle in der LayerZero-betriebenen Bridge des Protokolls aus. Zwei Tage später äußerte sich LayerZero zu dem Vorfall, der nach dem 285-Millionen-Dollar-Exploit des Drift Protocol zum größten DeFi-Hack des Jahres 2026 geworden ist.
LayerZero führte den "hochentwickelten Angriff" auf die nordkoreanische Lazarus Group zurück. Das Unternehmen bezeichnete ihn als Angriff auf die Krypto-Infrastruktur und nicht als Protokoll-Exploit und erklärte, dass "es keinerlei Auswirkungen auf andere Cross-Chain-Assets oder Anwendungen gibt". Das Protokoll erläuterte, dass sein System auf einer modularen Sicherheitsgrundlage basiert, die Decentralized Verifier Networks (DVNs) nutzt – unabhängige Einheiten, die Cross-Chain-Nachrichten verifizieren.
Laut LayerZero kompromittierten die Angreifer einen Großteil der RPCs (Remote Procedure Calls), auf die sein eigenes DVN zur Transaktionsverifizierung angewiesen war. Sie sollen Binärdateien ausgetauscht haben, um Nachrichten zu fälschen, und DDoS-Angriffe genutzt haben, um das System zu zwingen, diese kompromittierten Nodes zu verwenden, wodurch das DVN dazu gebracht wurde, gefälschte Transaktionen zu bestätigen.
Basierend auf dieser Analyse kam LayerZero zu dem Schluss, dass die Verantwortung bei KelpDAO liege, da es sich für ein Single-DVN-Setup anstelle einer empfohlenen Multi-DVN-Konfiguration entschieden habe. Das Unternehmen erklärte: "Dieser Vorfall war ausschließlich auf KelpDAOs rsETH-Konfiguration beschränkt, was eine direkte Folge ihres Single-DVN-Setups war."
Krypto-Community kritisiert "mangelnde Verantwortungsübernahme"
Die Krypto-Community hat heftig auf diese Nachanalyse reagiert und kritisiert LayerZero dafür, dass es die Verantwortung auf die Sicherheitsentscheidungen von KelpDAO abwälze.
Ein X-Nutzer mit dem Namen Saint kommentierte: "Stellt euch vor, ihr baut eine Brücke, für deren Überquerung Fahrzeuge bezahlen, die Brücke stürzt ein, und ihr sagt, es sei deren Schuld, dass sie die Brücke überquert haben. Ein klassischer Clownsakt von einem Haufen Clowns ohne jegliche Verantwortung."
Andere stellten die Logik infrage, eine "1-von-1"-Konfiguration anzubieten, wenn diese von Natur aus unsicher sei. Nutzer Ditto argumentierte: "Wenn das System diese Option zulässt, ist es nicht die Schuld des Kunden, der sie gewählt hat – es ist ein grundlegender Designfehler des Systems, das sie ermöglicht hat." Er fügte hinzu: "Letztendlich bleibt die Tatsache bestehen, dass der DVN-RPC kompromittiert wurde. DVN ist ein LayerZero-Produkt, und sie sind diejenigen, die es an diese Teams verkauft haben."
Chainlink-Community-Manager Zach Rynes warf LayerZero vor, die Schuld für die Kompromittierung seines eigenen DVN-Nodes abzulenken und KelpDAO "vor den Bus zu werfen", weil es einem Setup vertraut habe, das LayerZero selbst unterstützt und erst nach dem Hack blockiert habe.
Yearn Finance-Entwickler Artem K merkte auf X an, dass der Angriff als Kompromittierung eines RPC-Nodes beschrieben wurde, der zur eigenen Infrastruktur von LayerZero gehöre. "Da nicht gesagt wird, wie der Einbruch erfolgt ist, würde ich die Bridges nicht überstürzt wieder aktivieren", fügte er hinzu.
Falsche Diagnose, falsche Lösung?
Analyst The Smart Ape hat angedeutet, dass LayerZero eine falsche Diagnose gestellt habe und die falsche Lösung anbiete. In seiner Nachanalyse empfahl LayerZero, dass alle Anwendungen mit einer 1-von-1-DVN-Konfiguration auf Multi-DVN-Setups umsteigen sollten, um künftige Angriffe zu verhindern.
Der Analyst argumentiert jedoch, dass Multi-Verifier-Setups den nächsten großen Angriff möglicherweise nicht stoppen könnten. Er weist darauf hin, dass mehrere DVNs dennoch versagen könnten, da sie oft Chain-States von derselben kleinen Gruppe von RPC-Anbietern lesen, die größtenteils auf großen Cloud-Plattformen wie AWS oder Google Cloud konzentriert sind. Wenn fünf "unabhängige" Verifier alle auf dieselbe kompromittierte Infrastruktur angewiesen sind, wird der Sicherheitsvorteil zunichte gemacht. Wenn alle fünf dezentralen Verifier-Netzwerke (DVNs) auf dieselben drei RPC-Anbieter angewiesen sind, kann ein Angreifer, der diese drei RPCs kompromittiert, alle fünf Verifier gleichzeitig täuschen. Wie ein Analyst erklärte: "Wenn alle Ihre Verifier gleichzeitig auf dieselbe Weise getäuscht werden, kehrt das System effektiv zu einem 1-von-1-Modell zurück. Fünf identische Kopien sind nicht dasselbe wie fünf unabhängige Zeugen."
Um diese Schwachstelle zu beheben, empfiehlt der Analyst, dass jeder Verifier seinen eigenen Full Node mit unterschiedlicher Client-Software betreibt, der auf separaten Cloud-Anbietern gehostet, von verschiedenen Betriebsteams verwaltet und mit verschiedenen Segmenten des Ethereum-Netzwerks verbunden ist. "Die Lösung besteht nicht darin, mehr der gleichen Komponenten hinzuzufügen. Die eigentliche Lösung besteht darin, dass Verifier ihre eigene zugrundeliegende Infrastruktur validieren, nicht nur den Chain-State. Solange Sie das Upstream-Setup eines DVNs – welche RPC-Anbieter, Client-Software, Cloud-Dienste und Regionen es verwendet – nicht überprüfen können, sind Behauptungen über 'M-von-N-Sicherheit' nur Marketing für eine Funktion, die nicht wirklich implementiert wurde", bemerkte er. "Am 18. April hat die Lazarus Group keine Kryptographie gebrochen; sie haben drei Server kompromittiert."
Häufig gestellte Fragen
FAQs Krypto-Community kritisiert LayerZeros Sicherheitsansatz
Einsteigerfragen
F1 Was ist LayerZero?
A1 LayerZero ist eine Technologie, die es verschiedenen Blockchains ermöglicht, miteinander zu kommunizieren und Daten auszutauschen. Sie wird oft als Interoperabilitätsprotokoll bezeichnet.
F2 Was ist mit dem erwähnten 290-Millionen-Dollar-Hack passiert?
A2 Im Jahr 2022 wurde eine wichtige Cross-Chain-Bridge namens Wormhole für etwa 320 Millionen Dollar in Kryptowährung gehackt. Die jüngste Kritik bezieht sich auf dieses Ereignis als warnendes Beispiel.
F3 Was sind Verifier in diesem Zusammenhang?
A3 Verifier sind unabhängige Einheiten oder Software, die überprüfen und bestätigen, dass eine Transaktion, die von einer Blockchain zu einer anderen bewegt wird, gültig und korrekt ist. Sie fungieren als Wachhunde für die Sicherheit.
F4 Warum kritisiert die Krypto-Community LayerZero?
A4 Die Community ist besorgt, dass LayerZeros Plan, die Sicherheit durch einfaches Hinzufügen weiterer Verifier zu verbessern, möglicherweise nicht ausreicht, um einen massiven Hack wie den Wormhole-Vorfall zu verhindern. Kritiker argumentieren, dass das grundlegende Design sicherer sein muss.
F5 Was ist eine Cross-Chain-Bridge und warum ist sie riskant?
A5 Eine Cross-Chain-Bridge ist ein Tool, mit dem Sie Kryptowährungen oder Daten von einer Blockchain zu einer anderen bewegen können. Sie sind oft Ziele für Hacker, weil sie viele gebundene Gelder an einem Ort halten, was sie zu attraktiven Honigtöpfen macht.
Fortgeschrittene Fragen
F6 Was ist das Hauptargument gegen das bloße Hinzufügen weiterer Verifier?
A6 Das Argument ist, dass Quantität nicht automatisch Qualität oder Design schlägt. Wenn mehrere Verifier auf dieselbe fehlerhafte Software oder dieselben Sicherheitsannahmen angewiesen sind, können sie alle gemeinsam kompromittiert werden. Es handelt sich um ein Single-Point-of-Failure-Problem.
F7 Gibt es alternative Sicherheitsmodelle zum Hinzufügen weiterer Verifier?
A7 Ja. Alternativen umfassen:
Fraud Proofs: Bei denen jeder eine Transaktion anfechten und beweisen kann, dass sie ungültig ist.
Light Clients: Die die eigenen Sicherheitsmechanismen der Blockchain zur Transaktionsverifizierung nutzen.
Economic Security/Slashing: Bei denen Verifier große Mengen ihrer eigenen Kryptowährung hinterlegen müssen, die sie verlieren, wenn sie böswillig handeln.