Raport Dune: 47% aplikacji LayerZero narażonych na atak. Lekcja z Kelp DAO nie została odrobiona?
Wstrząs wtórny po hacku na rsETH obnażył systemową słabość w sposobie, w jaki deweloperzy konfigurują tzw. DVN (Decentralized Verifier Networks). Analiza ponad 2600 aplikacji typu OApp (Omnichain Applications) pokazuje, że wygoda i niskie koszty często wygrywają z bezpieczeństwem.
Statystyki bezpieczeństwa OApp (ostatnie 90 dni):
Z danych Dune wynika, że większość projektów stosuje bardzo ryzykowne konfiguracje:
- Model 1-1 (47% projektów): To najniższy możliwy poziom zabezpieczeń. Wystarczy kompromitacja tylko jednego weryfikatora (DVN), aby haker mógł przesyłać fałszywe wiadomości i kraść środki. Do tej grupy należał właśnie Kelp DAO.
- Model 2-2 (45% projektów): Nieco lepszy, ale wciąż wymagający przejęcia tylko dwóch punktów kontrolnych.
- Model 3-3 i wyższy (zaledwie ~5%): Elita bezpieczeństwa. Tylko co dwudziesty projekt decyduje się na bardziej rozproszoną i kosztowną, ale znacznie bezpieczniejszą weryfikację.
Czym są OApps i dlaczego DVN jest kluczowe?
OApps (Omnichain Applications) to aplikacje, które żyją w wielu sieciach jednocześnie (np. Ethereum, Arbitrum, Solana). Ich „sercem” jest most LayerZero, a strażnikami tego mostu są właśnie sieci DVN.
- Jeśli DVN jest skonfigurowane jako 1-1, protokół ufa jednej wyroczni.
- W przypadku Kelp DAO hakerzy przejęli węzły RPC, oszukali tę jedyną instancję weryfikującą i „dodrukowali” tokeny rsETH na innej sieci.
Dlaczego deweloperzy wybierają 1-1?
Głównym powodem są koszty gazu. Każdy dodatkowy weryfikator w konfiguracji (np. 3-3 zamiast 1-1) podnosi cenę transakcji cross-chain dla użytkownika końcowego. W pogoni za „UX” i niskimi opłatami, projekty świadomie lub nie, wystawiają się na celownik hakerów.
Podsumowanie: Czas na rewizję standardów
Raport Dune to potężny sygnał ostrzegawczy dla użytkowników DeFi. Sprawdzanie konfiguracji DVN danego protokołu może stać się wkrótce tak samo ważne, jak czytanie raportów z audytów smart kontraktów. Jeśli niemal połowa ekosystemu korzysta z modelu „jednego punktu awarii”, Kelp DAO może być tylko początkiem serii podobnych incydentów.
Źródła:
Dune on X: Analysis of OApp security configurations following KelpDAO exploit (21.04.2026)
