Wala pong kontagyon ang Layerzero pagkatapos ng pag-atake sa KelpDAO na $290M

DeFi bridge security ay nasa mas malakas na presyon pagkatapos ng malaking exploit na nagpalabas ng mga struktural na kahinaan sa disenyo ng verifier at mga pagkakasalalay sa infrastraktura. Ang epekto ay lumalawak ang mga tanong tungkol sa pagkakaroon ng responsibilidad para sa Layerzero Labs at pinapalakas ang mga alalahanin tungkol sa mga pinagsanayang modelo ng pagpapatotoo.

Mga Pangunahing Tala:

• Ipinakita ng Layerzero ang exploit bilang pagkabigo sa imprastruktura, na nagpapahina sa tiwala sa mga modelo ng seguridad ng tulay.
• Inilah ni Zach Rynes ng Chainlink ang centralization ng validator, ang pagtaas ng mga panganib sa kredibilidad sa loob ng DeFi.
• KelpDAO ay ngayon ay nakakaranas ng presyur upang tanggapin ang mga multi-DVN setup, na nagpapahiwatig ng mas mahigpit na mga pamantayan sa darating.

Isang malubhang paglabag sa seguridad sa pagitan ng mga chain ang nagpapalakas ng pagmamasid sa disenyo ng mga tulay sa decentralized finance ( DeFi) matapos na ipaliwanag ng LayerZero Labs ang kanilang bersyon ng pag-eksplota ng halos $290M na rsETH ni KelpDAO. Noong Abril 18, ang statement ay inilabas sa social media platform na X, at isinalarawan ang insidente bilang isang pag-atake sa antas ng infrastraktura na nagpapakita ng mga panganib na kaakibat ng mga pinagsamang verifier setup.

Sa pahayag, sinabi ng Layerzero Labs:

Mga panimulang indikasyon ang nag-uudyok sa pagkakakilanlan sa isang napakakomplikadong estado na aktor, malamang ang Lazarus Group ng DPRK, lalo na ang TraderTraitor.

Ayon sa mga detalye na ibinigay, ang pag-atake ay tumarget sa downstream na remote procedure call infrastructure na ginagamit ng kanyang Decentralized Verifier Network. Sa halip na pagsamantala sa protokolo mismo, sinabayan ng mga attacker ang RPC systems, pinagbago ang data na ipinapakita sa verifier, at ginamit ang distributed denial-of-service pressure laban sa mga hindi nasasakop na endpoints. Ang kombinasyong ito ay nagbigay-daan sa pagpapatunay ng mga dayaloy na transaksyon habang ikinukubli ang pagkakakita sa mga sistema ng pagmamonitor.

Ipinagkaloob ni Layerzero Labs ang pangunahing kahinaan sa konpigurasyon ng KelpDAO na rsETH, na nakabatay sa isang-isa lamang na DVN na istruktura. Ang modelo na ito ay hindi nag-iwan ng anumang independiyenteng verificador na makakatanggi sa isang pinagbagoang mensahe kung ang suportang imprastruktura ay na-compromise. Ang pahayag ay nag-argumen na ang ganitong setup ay lumalabag sa matagal nang rekomendasyon para sa multi-DVN redundancy. Ipinahiwatig din nito na ang tamang dinibersipikadong konpigurasyon ay nangangailangan ng konsensyo sa pagitan ng maraming verificador, na magiging epektibo upang gawing walang epekto ang pag-atake kahit na isang daanan lamang ang na-compromise.

Pinahalagahan din ni Layerzero Labs na nanatiling limitado ang epekto sa mas malawak na ecosystem. “Ginawa namin ang komprehensibong pagsusuri sa mga aktibong integrasyon sa Layerzero protocol,” ayon sa Layerzero Labs, na pinahalagahan:

“Maaari naming patunayan nang may kumpiyansa na walang anumang kontaminasyon sa anumang ibang asset o aplikasyon.”

“Ito ay isang hiwalay na insidente na kinasasakop lamang ng rsETH configuration ng KelpDAO bilang direkta ng kanyang single-DVN setup,” dagdag pa nila. Ang pagsasalaysay na ito ay sumusuporta sa pananaw na ang protocol ay gumana ayon sa layunin, na may modular na seguridad na naglimita sa pinsala sa isang tanging integrasyon kaysa maglikha ng mas malawak na sistemikong eksposur.

Nakapaghihiwalay ang reaksyon ng komunidad, na may ilan na direktang ipinaglaban ang interpretasyong iyon. Si Zach Rynes, komunidad na tagapag-uugnay sa Chainlink, ay nag-opina sa X: “Ayon sa inaasahan, ang Layerzero ay nag-iwas sa pagkakasala na ang kanilang sariling DVN node infrastructure ay na-compromise at nagdulot ng $290M na bridge exploit.” Ipinagtanggol niya na ang problema ay nagmula sa parehong kontrol sa infrastructure at pagkakasentro ng validator, na gumawa ng isang single point of failure. Ipinahalata ni Rynes ang centralization risk nang maraming taon na ang nakalilipas at binigyan ng babala na ang ganitong uri ng setup ay nagpapakita sa mga user ng mas malaking systemic risk. “Ang pag-claim na walang contagion ay ang cherry on top lang,” wakas niya. Ang pagkakaibigan ay nagpapakita ng mas malawak na pagkakahati-hati tungkol sa accountability kapag isang entidad ang kontrol sa parehong infrastructure at validation.