LayerZero betreibt sogenannte Decentralized Verifier Networks (DVNs) — unabhängige Instanzen, die über verschiedene Blockchains hinweg gesendete Nachrichten verifizieren. Nach eigener Darstellung hat das Unternehmen Firmen wie Kelp wiederholt davor gewarnt, sich allein auf das DVN von LayerZero als einzige verifizierende Instanz zu verlassen. „Branchenüblicher Standard — und die ausdrückliche Empfehlung von LayerZero an alle Integrationspartner — ist eine Multi-DVN-Konfiguration mit Vielfalt und Redundanz", erklärte das Unternehmen. Kein einzelnes DVN solle einen alleinigen Vertrauens- oder Ausfallpunkt darstellen.
LayerZero war der einzige Verifizierer für eine Anwendung namens rsETH, einen Token-Typ, mit dem Nutzer ihre Ether-Coins hinterlegen und daraus Renditen erzielen können. In einer verschachtelten Folge von Transaktionen drangen die Angreifer in LayerZero ein und erzeugten große Mengen rsETH, ohne echtes Ether als Sicherheit zu hinterlegen — sie schufen also faktisch Geld aus dem Nichts. Das fiktive rsETH nutzten sie anschließend auf anderen Plattformen als Sicherheit, um echte Ether-Coins und an den US-Dollar gekoppelte Stablecoins zu leihen.
In ihrer Aufarbeitung gab LayerZero wiederholt Kelps Konfiguration die Schuld: Diese widerspreche „direkt dem Multi-DVN-Redundanzmodell". Eine Konfiguration mit einem einzigen Ausfallpunkt habe bedeutet, dass kein unabhängiger Verifizierer eine gefälschte Nachricht habe erkennen und abweisen können. Die Angreifer hätten zudem nachgelagerte Infrastruktur „manipulieren oder vergiften" können, indem sie Systeme kompromittierten, auf die LayerZero zur Prüfung von Transaktionen angewiesen ist; ihre ausgefeilten Methoden hätten verhindert, dass Sicherheitswerkzeuge Auffälligkeiten bemerkten.
Um den Diebstahl abzuschließen, starteten die Angreifer laut LayerZero zusätzlich einen DDoS-Angriff (Distributed Denial of Service) auf Backup-Systeme, die den Abfluss womöglich hätten stoppen können. Die eingesetzten Werkzeuge seien so gebaut gewesen, dass sie sich nach getaner Arbeit selbst zerstörten. Wie genau die mutmaßlichen Nordkoreaner in die Geräte von LayerZero eindrangen, lässt die Aufarbeitung offen. Mehrere im vergangenen Jahr von Nordkorea angegriffene Krypto-Firmen nannten mit Malware infizierte Laptops als Einfallstor.
Eine Kelp-Quelle widersprach gegenüber dem Krypto-Portal CoinDesk der Einschätzung von LayerZero und verwies darauf, dass selbst dessen eigene Aufarbeitung einräume, der Vorfall habe die Kompromittierung von LayerZeros Servern und nicht jener von Kelp betroffen. Zudem nutzten rund 40 Prozent der LayerZero-Kunden die Einzel-DVN-Konfiguration, ohne dass das Unternehmen dies je beanstandet habe. LayerZero erklärte, man kontaktiere nun alle Parteien mit Einzel-DVN-Konfiguration und werde künftig keine Nachrichten von Anwendungen mit nur einem Verifizierer mehr freigeben. Die Strafverfolgungsbehörden seien eingeschaltet; die eigenen Systeme hätten „während des gesamten Vorfalls genau wie vorgesehen funktioniert".
Aave, eine der Plattformen, auf denen die Angreifer mit dem fiktiven rsETH Kredite aufnahmen, bestätigte den Vorfall und prüfe „mögliche Lösungen". Tausende Nutzer versuchten, ihr Geld abzuziehen, teils vergeblich. Kelp, LayerZero und Aave reagierten nicht auf Anfragen.
Bestätigt sich der Diebstahl, wäre es ein weiterer spektakulärer Krypto-Raub Nordkoreas. Vor drei Wochen entwendeten mutmaßlich nordkoreanische Gruppen 290 Millionen Dollar von der Plattform Drift. Laut UN-Ermittlern stahl das Land im vergangenen Jahr mehr als 2 Milliarden Dollar und nahm zwischen 2017 und 2023 rund 3 Milliarden Dollar durch solche Angriffe ein.