LayerZero公开回应黑客攻击事件：承认运营缺陷并启动整改

LayerZero Labs于2026年5月8日发布致歉信，针对近期由Lazarus Group发起的网络攻击事件，详细说明了在沟通透明度与内部管理方面存在的问题。虽然核心协议未受影响，但其内部系统遭到渗透，暴露出长期积累的安全隐患。

多签权限被用于个人交易，暴露治理短板

2026年4月19日，攻击者入侵了LayerZero Labs的内部RPC节点，篡改数据源并发动分布式拒绝服务攻击，影响其DVN网络运行。此次事件仅波及单一应用，占所有生态应用的0.14%，桥接资产损失占比为0.36%。其中，KelpDAO遭受约3亿美元rsETH被盗。

在信中，公司披露三年前曾发生一起违规操作：一名签名者将本应用于多签验证的硬件钱包，私自接入个人账户，并在Uniswap上执行了McPepes迷因币的交易。该行为已被纠正，相关成员已替换，钱包也完成更换，且新增管控流程以杜绝重演。

此说法与联合创始人Bryan Pellegrino此前宣称的“标准OFT测试”存在明显矛盾。有用户指出，该迷因币长期出现来自同一多签地址的多次交易记录，质疑其真实性。

LayerZero补充说明，多签机制仅用于控制端点配置，如链的增删与默认设置更新，不涉及具体交易执行。

敦促开发者强化安全实践，重构信任基础

LayerZero重申其设计初衷是消除传统桥接中的单点故障风险，赋予每个应用独立的安全权责。建议开发者固定所有配置，避免依赖由其控制的默认参数；提高各链区块确认数以降低重组可能性；在配置DVN时至少引入两方独立验证者（理想为三至五方）；并鼓励自建必要节点。

公司明确指出，若采用1/1配置的默认应用或DVN，则全部信任均建立在LayerZero Labs的多签之上。而Gas中继服务（如Essence、LayerZero执行器）仅影响系统活性，不影响安全性。

事件后，公司已停止支持1/1配置的DVN；路径默认设置全面升级至5/5或3/3模式；同时正以Rust语言开发新一代客户端，提升代码健壮性。

跨链信任危机蔓延，行业整合趋势显现

初期试图将责任归于合作方的做法迅速引发舆论反弹。作为直接后果，KelpDAO与Solv Protocol已切换至Chainlink；Beefy、Ethena、BitGo、Lombard等项目亦正在评估现有集成方案。

市场担忧跨链交易量下滑、Stargate收益减少以及ZRO代币回购计划受阻。尽管在3亿美元损失后，LayerZero将责任归于外部伙伴，随即面临信任流失。

为弥补影响，公司宣布向DeFi United救援计划捐赠5000枚ETH，另向Aave流动性池追加5000枚ETH。尽管如此，事件仍触发对跨链协议安全模型的深层反思。未来将推行7/10 OneSig多签机制，以增强抗攻击能力。

LayerZero强调协议仍具备支撑大规模安全交易的能力，但接下来数周内，开发者生态的走向将成为关键观察指标。