A LayerZero responsabilizou a configuração da Kelp DAO pelo exploit de US$ 290 milhões registrado em sua infraestrutura, atribuindo o ataque ao grupo norte-coreano Lazarus. Segundo a empresa, os hackers comprometeram dois nós RPC usados pelo verificador da plataforma e derrubaram os demais por ataque DDoS, tornando o sistema vulnerável.
Como o ataque foi executado
Os atacantes miraram especificamente os nós RPC dos quais o verificador da LayerZero dependia. Ao comprometer dois desses nós e derrubar os restantes com DDoS, o grupo criou uma janela de vulnerabilidade suficiente para drenar os fundos.
Falha na configuração da Kelp
A LayerZero afirma que o ataque só funcionou porque a Kelp DAO ignorou recomendações explícitas de implementar múltiplos verificadores. A empresa diz ter orientado o uso de arquitetura multi-verifier justamente para evitar esse tipo de ponto único de falha.
Com apenas um verificador ativo, os atacantes precisaram comprometer uma superfície de ataque muito menor. A recomendação de redundância, segundo a LayerZero, foi descartada pela equipe da Kelp.
Notícias Relacionadas
Lazarus Group como executor
A LayerZero atribuiu a operação ao Lazarus Group, braço cibernético vinculado ao governo da Coreia do Norte. O grupo é responsável por alguns dos maiores roubos do setor de criptomoedas nos últimos anos, com histórico de ataques sofisticados a infraestruturas de protocolos DeFi e bridges cross-chain.
Padrão de ataque reconhecível
A combinação de comprometimento de nós RPC com DDoS direcionado segue um padrão já documentado em operações anteriores do Lazarus. O grupo costuma mapear dependências críticas de infraestrutura antes de executar o ataque final.
Impacto e responsabilização
O valor de US$ 290 milhões coloca o caso entre os maiores exploits de 2026 no segmento DeFi. A disputa pública entre LayerZero e Kelp sobre responsabilidade técnica expõe um debate mais amplo sobre padrões mínimos de segurança exigidos de protocolos que integram infraestrutura de terceiros.
A Kelp DAO ainda não se pronunciou oficialmente sobre as alegações da LayerZero até o momento da publicação desta reportagem.
