DeFi bridge security está bajo una presión más intensa tras una explotación importante que expuso debilidades estructurales en el diseño de verificadores y dependencias de infraestructura. Las consecuencias están ampliando las preguntas sobre responsabilidad para Layerzero Labs y reforzando las preocupaciones sobre modelos de validación concentrados.
Principales conclusiones:
- Layerzero presentó el exploit como un fallo de infraestructura, debilitando la confianza en los modelos de seguridad de los puentes.
- Zach Rynes de Chainlink culpó a la centralización de validadores por el aumento de los riesgos de credibilidad en DeFi.
- KelpDAO ahora enfrenta presión para adoptar configuraciones de múltiples DVN, lo que señala estándares más estrictos por venir.
DeFi Los riesgos de seguridad de los puentes exponen debilidades estructurales
Una grave brecha de seguridad entre cadenas está intensificando el escrutinio del diseño de puentes en finanzas descentralizadas ( DeFi) después de que LayerZero Labs presentara su relato del exploit de aproximadamente $290 millones en rsETH de KelpDAO. El 18 de abril, el statement fue publicado en la plataforma de redes sociales X, presentando el incidente como un ataque a nivel de infraestructura que expuso riesgos asociados a configuraciones de verificadores concentradas.
En la declaración, Layerzero Labs indicó:
Los indicadores preliminares sugieren la atribución a un actor estatal altamente sofisticado, probablemente el Grupo Lazarus de la RPDC, más específicamente TraderTraitor.
Según los detalles proporcionados, el ataque objetó la infraestructura de llamadas a procedimientos remotos de aguas abajo utilizada por su Red de Verificadores Descentralizados. En lugar de explotar el protocolo en sí, los atacantes supuestamente envenenaron sistemas RPC, manipularon los datos presentados al verificador y aplicaron presión mediante ataques de denegación de servicio distribuidos contra puntos finales no comprometidos. Esta combinación permitió validar transacciones fraudulentas mientras se evitaba la detección en los sistemas de monitoreo.
Layerzero Labs atribuyó la principal debilidad a la configuración de rsETH de KelpDAO, que dependía de una estructura DVN de uno de uno. Ese modelo dejó sin ningún verificador independiente capaz de rechazar un mensaje falsificado una vez que la infraestructura de soporte fue comprometida. La declaración argumentó que esta configuración iba en contra de recomendaciones de larga data sobre redundancia multi-DVN. También indicó que una configuración adecuadamente diversificada habría requerido consenso entre múltiples verificadores, lo que habría hecho ineficaz el ataque incluso si se hubiera comprometido una sola vía.
El debate sobre la responsabilidad se intensifica en la infraestructura de Crypto
Layerzero Labs también enfatizó que el impacto se mantuvo contenido en todo el ecosistema. “Hemos realizado una revisión exhaustiva de las integraciones activas en el protocolo Layerzero”, declaró Layerzero Labs, enfatizando:
Podemos confirmar con confianza que no hay ningún contagio a ningún otro activo o aplicación.
“Este incidente estuvo completamente aislado en la configuración de rsETH de KelpDAO como consecuencia directa de su configuración de único DVN”, añadieron. Este enfoque respalda la idea de que el protocolo funcionó como estaba previsto, con seguridad modular que limitó el daño a una sola integración en lugar de generar una exposición sistémica más amplia.
La reacción de la comunidad estuvo fuertemente dividida, con algunos desafiando directamente esa interpretación. Zach Rynes, enlace comunitario de Chainlink, opinó en X: “Como se esperaba, Layerzero está desviando la responsabilidad de que su propia infraestructura de nodos DVN node fue comprometida y causó una explotación de puente de $290 millones”. Argumentó que el problema surgió tanto del control de la infraestructura como de la concentración de validadores, creando un punto único de fallo. Rynes señaló este riesgo de centralización hace años y advirtió que tales configuraciones exponen a los usuarios a un riesgo sistémico desproporcionado. “Decir que no hubo contagio es solo la cereza encima del pastel”, concluyó. La disputa refleja una división más amplia sobre la responsabilidad cuando una sola entidad controla tanto la infraestructura como la validación.