KelpDAO ja LayerZero: 292 miljoonan dollarin hakkerointi
KelpDAO syyttää LayerZeroa 292 miljoonan dollarin hakkeroinnista ja aikoo uudelleenkäynnistää suunnitellun ristikkäisverkkojärjestelmän Chainlinkin avulla, ryhmä ilmoitti X:ssä tiistaina.
”Huhtikuun 18. päivän tapahtumasta on selvää, että LayerZero:n oma infrastruktuuri oli hyväksikäytetty, mikä johti 300 miljoonan dollarin tappioihin DeFi:ssä,” KelpDAO kirjoitti X:ssä.
Itsenäiset raportit SEAL 911:ltä, Chainalysisilta ja muilta merkittäviltä turvallisuustutkijoilta viittaavat kaikki samaan alkuperään. Huhtikuussa tapahtunut hyökkäys tyhjensi noin 116 500 rsETH:ta – Ethereum-pohjaista panostustokenia – ristikkäisverkkojärjestelmästä, jota Kelp käytti. Tämä protokolla mahdollistaa käyttäjien panostaa Ethereumia ja siirtää tokeneita lohkoketjujen välillä. Hyökkäys on liitetty Pohjois-Korean Lazarus-ryhmään.
LayerZero:n rooli ja hyökkäyksen seuraukset
Erillisessä X-viestissä Kelp ilmoitti, että LayerZero:n henkilöstö hyväksyi hyökkäykseen liittyvän kokoonpanon, eikä varoittanut siitä, mikä aiheutti turvallisuusriskin. Kokoonpano, jota kutsutaan 1-of-1 vahvistimeksi, perustuu yhteen toimijaan ristikkäisten tapahtumien vahvistamiseksi. Kelp totesi, että hyökkäys johtui LayerZero:n infrastruktuurin rikkomisesta, jossa hyökkääjät vaaransivat vahvistinverkon RPC-solmut ja pakottivat järjestelmän luottamaan manipuloituihin tietoihin, mikä mahdollisti väärien tapahtumien hyväksymisen.
”Hyökkäyksen jälkeen LayerZero ilmoitti, että se ei enää allekirjoita tai todista viestejä millekään sovellukselle, joka käyttää 1-1 DVN-kokoonpanoa,” Kelp kirjoitti.
Kelp:n mukaan tämä politiikan muutos, joka tehtiin satojen miljoonien dollarien hyväksikäytön jälkeen, vahvistaa, että tämä oli laajasti käytetty LayerZero-kokoonpano, jota LayerZero Labs muutti vain sen epäonnistuttua.
LayerZero:n vastaus ja tulevaisuuden suunnitelmat
Huhtikuun lausunnossaan LayerZero kiisti tämän kertomuksen, sanoen, että hyökkäys oli eristyksissä Kelp:n rsETH-sovelluksesta ja johtui sen käytöstä yksittäisen vahvistimen kokoonpanossa, joka oli vastoin yrityksen suosittelemaa monivahvistinmallia. ”Tämä kehys ei vastaa tosiasioita,” KelpDAO kirjoitti. Kelp:n mukaan se seurasi LayerZero:n dokumentaatiota ja oletusasetuksia.
Yritys myös totesi, että kokoonpano oli laajasti käytössä ekosysteemissä, viitaten tietoihin, jotka osoittavat suuren osan sovelluksista luottavan samanlaisiin kokoonpanoihin. Kelp aikoo siirtää rsETH-järjestelmänsä Chainlinkin ristikkäisverkkojen yhteentoimivuusprotokollaan, jossa tapahtumien on oltava useiden itsenäisten vahvistajien hyväksymiä sen sijaan, että yksi vahvistin hyväksyisi ne.
”Olemme sitoutuneet työskentelemään KelpDAO-tiimin kanssa rsETH:n ristikkäisverkkojen turvallisuuden parantamiseksi ja tukemaan heidän siirtymistään Chainlink CCIP:hen,” Chainlinkin liiketoimintajohtaja Johann Eid kertoi Decryptille.
Kelp:n hyökkäyksen vaikutus on ulottunut teknisen riidan yli. Noin 71 miljoonaa dollaria kryptovaluuttaa, joka liittyy hyökkäykseen, on jäädytetty Arbitrum-verkossa, mikä on laukaisemassa oikeudellisen taistelun New Yorkin liittovaltion tuomioistuimessa.
”Ekosysteemillä on kysymyksiä, joihin se ansaitsee vastauksia,” KelpDAO kirjoitti. ”Ja varmistamme, että rsETH on suojattu infrastruktuurilla, joka ei jätä näitä kysymyksiä avoimiksi.”
LayerZero ei heti vastannut Decryptin kommenttipyyntöön.
