KelpDAO teilte am 18. April mit, „verdächtige netzwerkübergreifende Aktivitäten“ im Zusammenhang mit rsETH festgestellt zu haben. Daraufhin setzte das Projekt seine rsETH-Verträge auf dem Ethereum-Mainnet sowie auf den Layer-2-Netzwerken aus und leitete eine Untersuchung ein – mit Unterstützung von LayerZero, Unichain und weiteren Partnern.

Die Auswertung der Blockchain-Aktivität ergab, dass rund 116.500 rsETH entwendet wurden, ein Gegenwert von etwa 293 Millionen Dollar. Die gestohlenen Mittel liefen über Tornado Cash, um ihre Herkunft zu verschleiern.

Nach Darstellung von LayerZero zielte der Angriff auf die Prüfschicht (DVN), die netzwerkübergreifende Nachrichten für rsETH validiert. Die Angreifer kompromittierten demnach einzelne RPC-Knoten des Prüfsystems und speisten diesem gefälschte Blockchain-Daten ein. Gleichzeitig legten sie intakte RPC-Knoten per Überlastungsangriff (DDoS) lahm, sodass das System gezwungen war, sich auf die manipulierten Knoten zu stützen.

Auf diese Weise konnte eine gefälschte netzwerkübergreifende Nachricht als gültig akzeptiert werden. Das System bestätigte Transaktionen, die in der Blockchain nie stattgefunden hatten, und ermöglichte so die unbefugte Bewegung der rsETH-Token.

Auf Basis einer vorläufigen Auswertung der Angriffsindikatoren hält LayerZero die berüchtigte Lazarus-Gruppe für wahrscheinlich verantwortlich. „Erste Indikatoren legen die Zuordnung zu einem hochentwickelten staatlichen Akteur nahe, wahrscheinlich der Lazarus Group aus Nordkorea, genauer der Untergruppe TraderTraitor“, erklärte das Unternehmen. LayerZero betonte zugleich, der Vorfall sei auf rsETH begrenzt geblieben; eine Ausbreitung auf andere Anwendungen oder Vermögenswerte gebe es nicht.

Der KelpDAO-Vorfall zählt gemessen an der gestohlenen Summe zu den größten Verlusten des laufenden Jahres. Die Lazarus-Gruppe wird darüber hinaus mit einem weiteren großen Diebstahl in Verbindung gebracht: dem Abzug von 280 Millionen Dollar beim Drift-Protokoll. Laut einem Aufarbeitungsbericht war jener Angriff das Ergebnis einer über sechs Monate sorgfältig geplanten Operation, bei der Beteiligte Konferenzen besuchten und eine Million Dollar in das Projekt einzahlten.