DeFi bridge security fait face à une pression accrue après une importante exploitation qui a révélé des faiblesses structurelles dans la conception des vérificateurs et les dépendances infrastructurelles. Les conséquences élargissent les questions de responsabilité pour Layerzero Labs et renforcent les préoccupations concernant les modèles de validation concentrés.
Points clés :
- LayerZero a qualifié l'exploitation comme une défaillance d'infrastructure, affaiblissant la confiance dans les modèles de sécurité des ponts.
- Zach Rynes de Chainlink a attribué la centralisation des validateurs à une augmentation des risques de crédibilité dans le DeFi.
- KelpDAO fait désormais face à une pression pour adopter des configurations multi-DVN, signifiant des normes plus strictes à venir.
DeFi : les risques de sécurité des ponts révèlent des faiblesses structurelles
Une violation de sécurité interchaîne grave intensifie l'analyse de la conception des ponts dans le finance décentralisée ( DeFi) après que LayerZero Labs ait présenté son compte rendu de l'exploitation d'environ 290 millions de dollars de rsETH par KelpDAO. Le 18 avril, la déclaration a été publiée sur la plateforme de médias sociaux X, présentant l'incident comme une attaque au niveau de l'infrastructure qui a révélé les risques liés à des configurations de vérificateurs concentrées.
Dans le communiqué, Layerzero Labs a déclaré :
Les indicateurs préliminaires suggèrent une attribution à un acteur étatique hautement sophistiqué, probablement le groupe Lazarus de la RPDC, plus précisément TraderTraitor.
Selon les détails fournis, l'attaque ciblait l'infrastructure de appel de procédure à distance en aval utilisée par son réseau de vérificateurs décentralisés. Plutôt que d'exploiter le protocole lui-même, les attaquants auraient empoisonné les systèmes RPC, manipulé les données présentées au vérificateur et exercé une pression par déni de service distribué contre les points de terminaison non compromis. Cette combinaison a permis de valider des transactions frauduleuses tout en évitant la détection par les systèmes de surveillance.
Layerzero Labs a attribué la principale faiblesse à la configuration rsETH de KelpDAO, qui reposait sur une structure DVN un à un. Ce modèle ne laissait aucun vérificateur indépendant capable de rejeter un message falsifié une fois l’infrastructure de support compromise. La déclaration affirmait que cette configuration allait à l’encontre des recommandations établies depuis longtemps en matière de redondance multi-DVN. Elle indiquait également qu’une configuration correctement diversifiée aurait exigé un consensus entre plusieurs vérificateurs, ce qui aurait rendu l’attaque inefficace même si un seul chemin avait été compromise.
Le débat sur la responsabilité s'intensifie dans l'infrastructure Crypto
Layerzero Labs a également souligné que l'impact est resté limité au sein de l'écosystème plus large. « Nous avons mené un examen complet des intégrations actives sur le protocole Layerzero », a déclaré Layerzero Labs, en insistant sur :
Nous pouvons confirmer avec certitude qu’il n’y a aucun risque de contamination pour tout autre actif ou application.
« Cet incident a été entièrement limité à la configuration rsETH de KelpDAO en raison directe de leur configuration à un seul DVN », ont-ils ajouté. Ce cadre soutient l'idée que le protocole a fonctionné comme prévu, avec une sécurité modulaire limitant les dégâts à une seule intégration plutôt qu'en créant une exposition systémique plus large.
La réaction de la communauté a été fortement divisée, certains contredissant directement cette interprétation. Zach Rynes, liaison communautaire chez Chainlink, has exprimé sur X : « Comme prévu, Layerzero détourne la responsabilité de la compromission de leur propre infrastructure de nœuds DVN node qui a causé une exploitation de pont de 290 millions de dollars. » Il a soutenu que le problème provenait à la fois du contrôle de l’infrastructure et de la concentration des validateurs, créant un point unique de défaillance. Rynes a signalé ce risque de centralisation il y a plusieurs années et a averti que de tels dispositifs exposent les utilisateurs à un risque systémique accru. « Affirmer qu’il n’y a eu aucune contagion est juste la cerise sur le gâteau », a-t-il conclu. Ce différend reflète une division plus large sur la responsabilité lorsque une entité contrôle à la fois l’infrastructure et la validation.