-
KelpDAO operava com um único verificador de transação, uma configuração que LayerZero desaconselha.
-
O ataque sofrido pela KelpDAO é o maior em quantidade roubada em 2026.
A equipe por trás do LayerZero Labs publicou um white paper em 20 de abril sobre o hack que drenou US$ 292 milhões no token rsETH da KelpDAO. Segundo o documento, a causa direta foi uma decisão de configuração do KelpDAO que contrariava as recomendações expressas do protocolo e também apontava o grupo hacker norte-coreano Lazarus como responsável.
De acordo com o relatório, KelpDAO operado com uma configuração DVN 1 de 1o que significa contar com um único verificador de transação entre cadeias que era o DVN (V2) do próprio LayerZero Labs, sem qualquer verificador independente adicional.
Uma DVN (rede verificadora descentralizada) é o componente que confirma se uma mensagem enviada entre duas redes é legítima antes de executá-la. LayerZero afirma que recomendou KelpDAO e todos os seus integradores adotar configurações com múltiplos DVNde modo que nenhum verificador represente um único ponto de falha.
Como o ataque funcionou?
De acordo com o investigação do LayerZero, o invasor não explorou o código LayerZero ou KelpDAO. Em vez disso, ele teve como alvo os servidores que o DVN do LayerZero Labs usou para consultar o estado da rede Ethereum e verificar se as transações eram legítimas. Esses servidores são chamados de nós. RPC.
O invasor identificou quais deles o DVN utilizava, comprometeu dois deles (hospedados em infraestruturas independentes) e substituiu seu software por versões manipuladas, capaz de enviar informações falsas ao DVN sobre transações que nunca ocorreram.
De acordo com o mesmo relatório, os nós adulterados responderam com dados falsos apenas quando o DVN da LayerZero os questionou, mas responderam normalmente a qualquer outro sistema, incluindo os sistemas de monitoramento interno da LayerZero. Isso impediu que os alertas detectassem anomalias.
Para completar o ataque, o perpetrador executou um DDoS (ataque de negação de serviço, que consiste em inundar um sistema com solicitações até que ele se torne inoperante) nos nós RPC não comprometidos, forçando o DVN a confiar apenas em nós envenenados. O resultado foi que o DVN validou transferências KelpDAO rsETH que nunca ocorreram, liberando os fundos.
Com uma configuração multi-DVN, observa LayerZero, um segundo verificador independente teria rejeitado a mensagem falsa e o ataque teria falhado. Foi a configuração 1 de 1 do KelpDAO que tornou possível que o comprometimento de um único DVN fosse suficiente para completar o roubo.
Além disso, com base nos indicadores recolhidos durante a investigação, LayerZero atribui o ataque ao Grupo Lazarus da Coreia do Norte (especificamente a unidade conhecida como TraderTraitor), chamando-a de ator estatal “altamente sofisticado”. Essa atribuição não tem corroboração externa independente até o momento.
Abril registra os maiores e maiores hacks do ano
O hack do KelpDAO não é um evento isolado, pois, conforme relatado pela CriptoNoticias, o ecossistema de criptomoedas registrou pelo menos 13 incidentes de segurança nas duas primeiras semanas de abril, com perdas acumuladas em 2026 superiores a US$ 450 milhões adicionais ao hack KelpDAO. Abril concentra grande parte desse total.
Neste contexto, os vetores de ataque variam desde contratos inteligentes mal auditados, manipulação da infraestrutura de nós, engenharia social e até ameaças internas. O caso KelpDAO agora adiciona o envenenamento de infraestrutura RPC como uma forma documentada de ataque a pontes entre cadeias.
Como medida imediata, a LayerZero anunciou que seu DVN deixará de assinar mensagens de aplicações com configuração 1-de-1 e entrará em contato com todos os integradores nessa situação para migrá-las para esquemas com redundância. A atribuição do ataque ao Grupo Lazarus da Coreia do Norte, apoiado pela LayerZero, permanece sem confirmação externa independente.
