LayerZero liga hack da KelpDAO ao Lazarus e reforça segurança

LayerZero atribui o exploit da KelpDAO ao Lazarus Group, com perdas de até US$ 2,9 bilhões, e reforça a necessidade de múltiplos verificadores para maior segurança.

A LayerZero Labs e diversos relatórios atribuíram o recente exploit na KelpDAO, que causou perdas estimadas entre US$ 290 milhões e US$ 2,9 bilhões, ao Lazarus Group da Coreia do Norte, especificamente ao subgrupo TraderTraitor. O ataque, ocorrido em 18 de abril de 2026, teve como alvo o token de restaking líquido rsETH da KelpDAO, explorando uma configuração de verificador único (DVN), apesar das recomendações anteriores da LayerZero para o uso de múltiplos verificadores. Os invasores comprometeram nós de remote procedure call (RPC), injetando dados falsos na blockchain e lançando ataques DDoS para forçar a validação de transações fraudulentas. Isso resultou no dreno de uma parte significativa do suprimento circulante de rsETH. A LayerZero destacou que seu protocolo não possui falhas inerentes e que aplicações com múltiplos DVNs não foram afetadas. A empresa suspendeu serviços de assinatura e verificação para configurações de verificador único e está acelerando a migração para setups multi-DVN. O incidente ressalta a importância de práticas robustas de segurança e da adesão às configurações recomendadas.