LayerZero, Kelp DAO 사태 정리 - 2026년 4월 18일, LayerZero Labs 인프라발 익스플로잇으로 DeFi에서 3억 달러+ 손실. 추가 1억 달러+ 위조 트랜잭션도 LayerZero Labs DVN에서 서명·처리됐는데, Kelp가 컨트랙트 일시중지로 막음. - LayerZero는 "Kelp의 1-1 DVN 설정이 원인"이라고 책임 떠넘김. 근데 팩트랑 안 맞음. - Dune 분석상 LayerZero OApp 약 2,665개 중 47%가 1-1 DVN, 45%가 2-2, 3-3 이상은 5%뿐. OFT 120개+가 1-1에 의존 중. 90일간 메시지 90%가 LayerZero Labs DVN 사용. Kelp만의 설정이 아니라 사실상 생태계 표준이었음. - 더 결정적인 건 LayerZero 공식 Quickstart 문서랑 OFT 기본 템플릿이 1-1을 디폴트로 박아놨다는 점. - 즉 자기들이 깔아놓은 기본값이 터진 건데 사용자 탓을 함. 게다가 Telegram에서 LayerZero 팀원이 Kelp의 1-1 설정을 명시적으로 OK라고 한 기록까지 있음. - 공격자가 LayerZero Labs DVN이 쓰는 RPC 노드 목록에 접근 → 별도 클러스터의 독립 노드 2개 침해 → op-geth 바이너리 교체 → RPC 스푸핑으로 위조 메시지 서명 유도. - LayerZero는 이걸 "RPC 스푸핑 공격"으로 프레이밍하는데, 독립 보안 연구자들은 "이건 신뢰 경계 내부의 인프라 침해"라고 못박음