Ai总结： LayerZero就Kelp DAO跨链桥2.92亿美元被盗事件发布深度声明，承认沟通失当与架构缺陷，披露多签操作漏洞，并宣布全面升级验证机制。事件引发主要协议迁移，市场信任受冲击。

LayerZero就跨链桥巨额失窃案披露关键责任与改进措施

针对4月18日发生的Kelp DAO跨链桥约2.92亿美元rsETH被盗事件，LayerZero于周五发布正式回应，首次公开承认其早期“协议按设计运行”的表述存在误导，并对沟通策略进行自我批评。公司坦言：“过去三周的应对方式严重失当。原计划以完整事后报告为优先，但更应立即展开清晰、直接的信息披露。”

攻击归因于朝鲜黑客组织及验证节点双重入侵

事件调查确认，攻击者为朝鲜背景的Lazarus组织，其通过入侵去中心化验证节点网络中的内部RPC接口，并对第三方外部RPC服务实施分布式拒绝服务攻击，致使系统被迫依赖已遭破坏的基础设施，从而批准了伪造的跨链交易。此外，公司承认在设计上允许高价值交易仅由单一验证节点审批，这一配置虽非强制，却构成重大安全隐患：“尽管开发者有自主选择权，但我们放任单一验证器承担高价值交易是不可接受的错误。”

单节点配置争议凸显默认安全设置的深层隐患

此次表态标志着其立场的根本转变。此前，LayerZero将责任指向Kelp DAO采用单验证器模式，而后者反驳称官方文档明确推荐该配置作为标准部署方案。据第三方监测平台数据，攻击发生时全网约2665个活跃应用中，高达47%采用了相同架构。这一现象揭示出跨链生态普遍存在的默认安全弱化问题——尽管协议强调模块化选择，实际部署仍高度依赖预设模板与快捷配置。公司强调，本次攻击仅影响单一应用，涉资约占协议总桥接价值的0.36%。

跨链安全强度取决于默认配置的严谨性

若允许高价值交易使用单一验证节点，将形成集中化薄弱点，此类风险可能横向扩散至其他集成项目，威胁整个生态的稳定性。

三年前未公开的操作事故被主动披露

LayerZero还透露一起约三年半前未对外公布的内部安全事件：一名多签验证者误将生产级硬件钱包用于个人交易，而非专用设备。相关责任人已被解除职务，钱包已完成轮换，后续所有签名设备均部署异常行为检测系统。该披露恰逢行业对其多签治理流程加强审查之时。此前链上研究发现生产环境多签钱包出现非协议相关交易，首席执行官解释系已离职验证者的测试行为所致。

操作疏漏可能演变为系统性基础设施风险

多签机制仍是核心攻击入口，一旦生产密钥与外部活动或私人用途混用，极易引发连锁性安全危机。

LayerZero启动全面安全架构升级计划

协议决定彻底禁用单一验证器配置，新部署默认要求至少五个验证节点，小规模链也需不少于三个。同时，正开发基于Rust语言的第二验证客户端以增强技术多样性，并重构RPC架构实现内外节点间更精细的权限仲裁。治理层面计划推出开源多签工具，将阈值从5人中3人提升至10人中7人，支持签名者本地哈希交易后再签署，有效防止恶意插入。此外，公司正在构建统一安全监控平台，协助资产发行方设定安全参数并实时识别异常部署行为。

事件对协议市场地位与生态信任造成显著冲击

此事件已改变其在跨链领域的竞争格局。Kelp DAO本周宣布迁移至Chainlink跨链协议，成为首个脱离LayerZero的核心项目。另一协议亦表示因安全担忧，将超70亿美元代币化比特币资产移出该网络。与此同时，由多方联合发起的资产恢复计划已募集超过3亿美元加密资产。LayerZero通过捐赠与借贷方式提供1万枚ETH，相关借贷协议面临约1.24亿至2.3亿美元坏账压力。公司表示，待外部安全审计机构完成调查后，将发布完整事件分析报告。