BlockBeats na mensahe, Abril 20, inilabas ng LayerZero Labs ang paliwanag tungkol sa pag-atake na nagsasabi na noong Abril 18, nasakop ang KelpDAO at nawalan ng halos $290 milyon; ang unang pagtataya ay ang Lazarus Group (lalo na ang TraderTraitor) na may mga ugnay sa Korea ng Hilaga. Ang pag-atake ay ginawa sa pamamagitan ng pagpapahalang sa ilalim na RPC infrastructure na nakadepende ng kanilang decentralized verification network (DVN), kung saan kinontrol ng mga attacker ang ilang RPC nodes at kasabay nito ang DDoS attack upang pilitin ang sistema na mag-switch sa masamang node, kaya naman maipagkakaloob ang forged cross-chain transactions. Ang lahat ng naapektuhang RPC nodes ay napatay na at napalitan, at ang DVN ay nabalik na sa pagtatrabaho.
Pinapahalagahan ni LayerZero na ang insidente ay limitado lamang sa konfigurasyon ng aplikasyon ng rsETH ng KelpDAO at hindi nakakaapekto sa iba pang mga asset o aplikasyon. Dahil sa paggamit ng KelpDAO ng isang solong DVN (1/1) arkitektura sa panahong iyon, hindi ginamit ang opsyonal na maraming DVN redundancy na inirerekomenda ng opisyal, na nagresulta sa kakulangan ng mga independiyenteng verification node upang makakilala ng fake na mensahe. Sinabi ni LayerZero na ang kanilang protokolo ay hindi may bug, at ang mga aplikasyon na may maraming DVN configuration ay hindi naapektuhan, at walang risk ng pagkalat sa sistema.
Sinabi ng LayerZero na magpapadala sila ng lahat ng proyekto na gumagamit ng single DVN configuration patungo sa multi-DVN architecture sa pinakamabilis na paraan, at nagsuspinde na sila ng pag-sign at pag-verify para sa mga aplikasyon na may 1/1 configuration. Samantala, nagtatrabaho ang kompanya kasama ang mga lokal na ahensya ng batas upang imbestigahan at tulungan ang mga kasamahan sa industriya na masubaybayan ang mga nasakop na pondo. Sinabi ng LayerZero na ipinakikita ng insidente na ito ang halaga ng modular security architecture, at nagpapaalala rin ito sa industriya tungkol sa potensyal na panganib sa seguridad ng RPC verification chain.