Noong weekend, na-exploit ang KelpDAO ng $290M sa rsETH. Gumagamit ang KelpDAO ng LayerZero bilang kanilang cross-chain bridge, at isinulat ng team ng LZ ang isang post-mortem na pinatotohanan ang KelpDAO, at tanging KelpDAO lamang, para sa insidente. Narito kung paano naganap ang hack. Sa pangkalahatan, sinira ng attacker ang isang subset ng RPC na ginagamit ng isang DVN (Decentralized Verifier Network) na ikinonekta ng KelpDAO, dinisyo ang mga honest endpoint, at ginamit ang mga naka-poison na RPC upang magsagawa ng forged cross-chain message. Oo, dapat hindi nagamit ng KelpDAO ang isang DVN lamang upang maprotektahan ang kanilang bridge instance. Iyon ay bulok. Ngunit alam mo ba sino ang nagpapatakbo sa isang DVN na iyon—yung kung saan nasiraan ang RPCs? LayerZero Labs—ang mga developer ng bridge. Malinaw na hindi lang ang KelpDAO ang dapat i-bilangguan dito. Ang mga tanong ko: 1) Paano nakapasok ang mga attacker sa RPC infra ng LayerZero Labs? 2) Bakit pinapayagan pa ang mga single DVN? 3) Paano natin dapat isipin ang minimum standards para sa cross-chain security ngayon: bilang ng DVNs, diversity ng infra providers, o isang eksplisitong “no single point of failure” benchmark? Mahirap na panahon para sa DeFi ngayon. Narito ang brutal na post-mortem: https://t.co/P647A4QdpQ
I-share
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.