Kelp DAOは、rsETHブリッジで発生した2億9200万ドルの不正流出について、LayerZeroの担当者が「1対1」のバリデーター設定を承認したことが原因だと非難した。同プロトコルは、LayerZeroのOFT標準からChainlinkのCCIPへの移行を計画している。このハッキングには北朝鮮のLazarus Groupが関与していると見られている。
Kelp DAOは「LayerZeroブリッジハッキングに関する事実関係の整理」と題したメモを公開し、LayerZeroが2年半以上にわたる8回の統合協議を通じてKelpの設定をレビューしていたにもかかわらず、セキュリティリスクの高い「1対1」のバリデーター設定について警告しなかったと主張した。Telegramのスクリーンショットには、LayerZeroのチームメンバーが「デフォルト設定を使用しても問題ありません。カスタムのDVN設定によるメッセージ検証を希望されていた可能性があると[編集済み]から聞いていたのでタグ付けしましたが、そちらはチームにお任せします」と述べている様子が示されている。Kelpは、これらのデフォルト設定こそが、11万6500 rsETH（約2億9200万ドル相当）を流出させた「1対1」のLayerZero Labs DVN構成であったと反論している。同プロトコルによると、Kelpがコントラクトを停止する前に、1億ドルを超える偽造トランザクションがさらに2件処理されていたという。Kelpは、自ら不正流出をLayerZeroに報告しなければならなかったとし、同社の監視体制を疑問視している。Dune Analyticsのデータ（CoinGecko引用）によると、アクティブなLayerZeroのOAppコントラクトの47%が同様の「1対1」設定を使用しており、45億ドル以上の価値がリスクにさらされている。LayerZeroは4月19日の事後報告書の中で、KelpがLayerZero Labsのみをバリデーターとして信頼していたことを批判し、同社が推奨するマルチDVNモデルに矛盾するものだと指摘した。LayerZeroはその後、「1対1」の構成を禁止し、プロトコル自体は意図通りに機能していたと述べている。LayerZeroの広報担当者はこれに対し、「KelpがLayerZeroのデフォルト設定を使用したという主張は不正確です。彼らは当初マルチDVNを展開し、その後手動で1対1にダウングレードしました」と回答した。また、同広報担当者は、バグ報奨金の除外規定はバリデーターネットワークなどのアプリケーションレベルの選択には適用されないと付け加えた。これを受けてKelpは、rsETHをChainlinkのクロスチェーン相互運用プロトコル（CCIP）へ移行する予定である。LayerZeroは本稿公開時点でさらなるコメントを出していない。本件は2026年5月5日にCoinDeskが最初に報じた。
