LayerZero afirma que Lazarus Group provavelmente está por trás da exploração da Kelp DAO
A LayerZero atribuiu a exploração da Kelp DAO ao Lazarus Group, da Coreia do Norte, identificando um ponto único de falha (single-point-of-failure) na configuração do verificador do protocolo como a causa técnica raiz que tornou o ataque possível.
A violação drenou cerca de 292 milhões USD do pool de rsETH da Kelp DAO em 18 de abril, marcando o maior hack de DeFi de 2026 até o momento – e fez com que o valor total bloqueado no setor de DeFi caísse 7% em 24 horas, para 85 bilhões USD, de acordo com o DefiLlama.
A atribuição não surge como uma conclusão definitiva, mas como uma alegação probabilística: a LayerZero afirma que o Lazarus é o provável autor, não um autor confirmado. O que essa distinção significa para o protocolo, seus usuários e o modelo de segurança cross-chain é a pergunta que este artigo responde.
- Fonte de atribuição: A LayerZero conduziu a investigação pós-incidente e nomeou o Lazarus Group da Coreia do Norte – especificamente o subgrupo TraderTraitor – como o provável autor.
- Causa técnica raiz: A Kelp DAO operava uma configuração de DVN 1-de-1 (nó verificador descentralizado único), ignorando as recomendações repetidas da LayerZero para redundância de múltiplos verificadores.
- Montante explorado: Aproximadamente 292 milhões USD drenados do pool rsETH da Kelp DAO; nenhum código do protocolo LayerZero ou chaves privadas foram comprometidos.
- Impacto no mercado: O TVL de DeFi caiu 7% em 24 horas, para 86 bilhões USD, após o incidente.
- Resposta: A LayerZero desativou os nós RPC afetados e restaurou totalmente as operações de DVN; a colaboração com autoridades policiais está em andamento para o rastreamento dos fundos.
- O que observar: Se a Kelp DAO anunciará um mecanismo de compensação e se protocolos cross-chain adicionais que operam configurações de DVN única se moverão para remediar a situação antes do próximo ataque.
Descobertas da LayerZero sobre Kelp DAO e Lazarus: O que um Ponto Único de Falha Realmente Significa na Arquitetura Cross-Chain
O mecanismo da exploração foi multifacetado e preciso. Os atacantes envenenaram a infraestrutura de RPC que alimenta a rede de verificadores descentralizados da LayerZero e, em seguida, lançaram um ataque DDoS projetado para forçar o failover para nós de backup comprometidos.
Com a rede de verificadores redirecionada, o sistema validou transações cross-chain fictícias, e 292 milhões USD em rsETH saíram do pool da Kelp DAO antes que a fraude fosse detectada.
O facilitador crítico: a Kelp DAO executava uma configuração de DVN 1-de-1, o que significa que um único nó verificador separava o protocolo de uma falha catastrófica. A LayerZero havia sinalizado essa arquitetura como inadequada – várias vezes, de acordo com a investigação – e recomendado uma configuração multi-DVN consistente com as melhores práticas do setor para redundância. A Kelp DAO não agiu de acordo com essas recomendações.
Uma configuração multi-DVN exigiria que os atacantes comprometessem vários nós de verificação independentes simultaneamente, um desafio técnico substancialmente maior. A configuração 1-de-1 derrubou essa barreira inteiramente. Como o CTO da Ripple, David Schwartz, postou no X: “O ataque foi muito mais sofisticado do que eu esperava e visou a infraestrutura da LayerZero aproveitando-se da negligência da KelpDAO”.
A resposta da LayerZero foi cirúrgica: a equipe desativou todos os nós RPC afetados após o incidente e restaurou totalmente as operações de DVN sem contágio mais amplo para outros protocolos que usam a mesma infraestrutura. Nenhum código do protocolo LayerZero foi comprometido. Nenhuma chave privada foi exposta. A falha foi arquitetural, não fundamental – uma distinção que importa enormemente para a credibilidade do protocolo, mas que nada faz para recuperar os 292 milhões USD.
Por que a atribuição à Coreia do Norte altera o modelo de ameaça para todo o ecossistema DeFi
A atribuição da LayerZero do caso Kelp DAO ao Lazarus, enquadrada como provável e não confirmada, é consistente com um padrão estabelecido e acelerado.
O subgrupo TraderTraitor, uma unidade operacional conhecida do Lazarus, foi preliminarmente identificado na análise forense. A LayerZero está colaborando ativamente com autoridades globais no rastreamento de fundos, sugerindo que a atribuição carrega peso probatório suficiente para envolver recursos investigativos de nível estatal.
O Lazarus tem sido associado a alguns dos maiores roubos de cripto já registrados, incluindo o hack de 625 milhões USD na Ronin Network em 2022 e uma série de explorações de protocolos DeFi que, coletivamente, canalizaram bilhões para os programas de armas da RPDC, de acordo com avaliações do Tesouro dos EUA e da ONU.
As operações de cripto da Coreia do Norte vão muito além das explorações diretas – o regime também infiltrou agentes em empresas da Web3 sob identidades falsas, uma trilha paralela que amplia a superfície de ataque para além da infraestrutura.
Protocolos cross-chain são alvos estruturalmente atraentes para essa classe de ator. Eles estão situados em junções de alto valor entre várias redes, muitas vezes carregando liquidez agrupada que supera o saldo de qualquer aplicação individual, e sua segurança depende de redes de verificadores que podem se tornar pontos únicos de falha quando configurados incorretamente. O envenenamento de RPC como tática contra redes de verificadores representa uma nova escalada – que pesquisadores de segurança dizem estar agora documentada e ser replicável.
Por que confiar em nós?
2M+
250+
8
70
Mais Artigos
in numbers
