Kelp DAO wechselt nach Streit um 300-Mio.-US-Dollar-Exploit von LayerZero zu Chainlink CCIP

Kelp DAO will seine Cross-Chain-Infrastruktur auf Chainlinks Cross-Chain Interoperability Protocol (CCIP) umstellen und weist zugleich Vorwürfe zurück, eine eigene Fehlkonfiguration habe den Exploit über 300 Mio. US-Dollar im Umfeld von LayerZero ermöglicht. In einem ausführlichen Beitrag vom 5. Mai erklärte Kelp, der Angriff vom 18. April sei auf Schwachstellen in der Infrastruktur von LayerZero zurückzuführen und nicht auf eine fehlerhafte Protokollkonfiguration, wie zuvor behauptet. Kelp widerspricht insbesondere der Darstellung, ein 1-of-1-DVN-Setup (Decentralized Verifier Network) habe die Lücke verursacht. Diese Konfiguration sei im LayerZero-Ökosystem weit verbreitet, in der Standarddokumentation enthalten und in früheren Abstimmungen ausdrücklich gebilligt worden. Unter Verweis auf öffentliche Daten betont Kelp, dass nahezu die Hälfte der in LayerZero integrierten Anwendungen mit ähnlichen Einstellungen betrieben worden sei, wobei die meisten Transaktionen auf das DVN von LayerZero selbst zurückgegriffen hätten. Nach Darstellung von Kelp ging der Angriff auf eine Kompromittierung der Offchain-Infrastruktur von LayerZero zurück. Angreifer hätten RPC-Nodes manipuliert und gefälschte Transaktions-Attestierungen erzeugt. In der Folge sei die Prägung nicht gedeckter rsETH ausgelöst und Kapital über DeFi-Protokolle abgezogen worden. Kelp erklärte, man habe die Contracts innerhalb einer Stunde nach Erkennung pausiert und zusätzliche Verluste von mehr als 100 Mio. US-Dollar verhindert. Zudem kritisiert Kelp Unstimmigkeiten im Postmortem von LayerZero, insbesondere die Einordnung als isoliertes Konfigurationsproblem. Kelp verweist darauf, dass LayerZero nach dem Exploit 1-of-1-DVN-Setups eingeschränkt habe, was aus Sicht des Protokolls der zuvor kommunizierten Akzeptanz solcher Konfigurationen widerspreche. Als weitere Risikofaktoren nennt Kelp gemeinsame Infrastruktur-Abhängigkeiten, fehlende Monitoring-Alerts und die Exponierung von RPC-Endpunkten. Diese Punkte deuteten auf systemische Risiken im Trust-Modell von LayerZero hin. Als Konsequenz kündigte Kelp den Wechsel zu Chainlink CCIP an und verwies auf dessen Sicherheitsmodell und Erfolgsbilanz. Der Schritt unterstreiche eine breitere Bewegung hin zu belastbarerer Cross-Chain-Infrastruktur nach dem Exploit. Kelp betont, oberste Priorität sei der Schutz der Nutzervermögen und der Wiederaufbau von Vertrauen; ein vollständiger forensischer Bericht solle zu einem späteren Zeitpunkt folgen.