Ripple 的荣誉首席技术官 David Schwartz 本周发表了一针见血的评论，此前 Kelp DAO rsETH 桥被利用，损失了约 2.92 亿美元。
他早就预料到会发生这种事。不是这次袭击本身，而是导致袭击发生的种种条件。
Schwartz 在 X 上写道：“我评估了许多 DeFi 桥接系统，以用于 RLUSD。我几乎完全专注于安全性和风险方面。我注意到的一点是，大多数方案的设计都非常完善，并且拥有非常强大的机制来抵御 KelpDAO 事件似乎正是由这类攻击引起的。”
掩盖安全功能的销售说辞
施瓦茨所描述的正是他在评估过程中反复遇到的模式。桥接服务提供商会着重宣传他们最先进的安全功能，然后几乎立即暗示这些功能是可选的，而且大多数客户选择不使用它们。
他写道：“他们实际上通常建议我们不要费心使用最重要的安全机制，因为这些机制会带来便利性和操作复杂性方面的成本。他们经常向我们推销添加更多链的简便性，其隐含的假设是，我们不会费心使用他们最好的安全功能。”
他说：“他们的销售策略是，他们的产品拥有最好的安全功能，而且易于使用和扩展，前提是你不使用安全功能。”
Kelp DAO 究竟发生了什么
4月19日，Kelp DAO发现rsETH存在可疑的跨链活动，并暂停了主网和多个Layer 2网络上的合约。约有116,500枚rsETH通过与LayerZero相关的合约调用被盗，按当前价格计算价值约2.92亿美元。
D2 Finance 的链上分析追溯到源链上的私钥泄露，导致与 OApp 节点之间出现信任问题，攻击者利用该问题操纵了桥接。
施瓦茨提出了他对协议层面可能出错原因的假设。他写道：“我总觉得问题的一部分可能出在像KelpDAO这样的组织为了方便而选择不使用LayerZero的关键安全特性。”
LayerZero本身提供强大的安全机制，包括去中心化验证网络。调查人员目前正在调查的问题是，Kelp DAO是否在其实现中采用了最低限度的安全设置，特别是仅以LayerZero Labs作为唯一验证者，从而导致单点故障，而不是采用更复杂但安全性更高的方案。
