LayerZeroは初期報告で、週末にKelpDAOクロスチェーンブリッジから約2億9200万ドルを盗んだ攻撃は「おそらく」北朝鮮のLazarusグループ、特にそのTraderTraitorサブ部門によるものであると述べた。分析周一。
攻撃者は土曜日にKelpDAOブリッジから116,500個のrsETH（ステーキングされたイーサリアムで裏付けられたライクイディティリーベットトークン）を盗み出し、プラットフォームをまたいだ引き出しラッシュを引き起こした。去中心化金融業界は拉100億ドル以上のローンプロトコル資金を流出させた艾维.
LayerZeroは、今回の攻撃が「高度に複雑な国家行為体」の特徴を有しており、おそらく北朝鮮のラザルスグループ、特に同グループのTraderTraitorサブ部門によるものであると指摘しています。
報道によると、北朝鮮のネットワーク行動は偵察総局が担当しており、同局にはTraderTraitor、AppleJeus、APT38、DangerousPasswordなどの複数の異なる部門が属している。分析著者：Paradigm研究員 Samczsun。
これらのサブ組織の中で、TraderTraitorは、韓国国内で暗号通貨をターゲットとした最も熟練した行動者と見なされており、以前は軸無限浪人橋およびWazirXと関連していた。
LayerZeroは、KelpDAOが橋渡し資金の入出金を承認するために単一のバリデーターを使用していることを示し、複数のバリデーターへの移行を複数回推奨していたと補足した。
LayerZeroは、今後、この設定を引き続き使用しているアプリケーションの承認を停止すると表明しました。
シングルポイント障害
観察者は、この脆弱性が、このブリッジが1つの検証者のみを信頼するように構築されていることを示したと述べている。
加密安全公司Sodotの共同創業者であるシャレフ・クレンは、マーケティング部門がいかに美化しようと、これは「単一障害点」であると述べた。解密
Kerenは、1か所の攻撃されたチェックポイントだけで資金がブリッジから流出でき、この欠陥を「アーキテクチャ自体から一方的な信頼を除去せずに」修復することは、どのような監査やセキュリティレビューでも不可能であると述べた。
この見解は他の人々にも賛同されています。Grvtブロックチェーンの責任者であるHaoze Qiuは、「Kelp DAOはブリッジのセキュリティ設定を受け入れているようだが、この規模の資産に対して冗長性が低すぎる」とし、さらに「今回の漏洩は、そのバリデータースタックに関連するインフラに影響を与えたものであり、たとえこれがコアプロトコルの脆弱性とされていなくても、LayerZeroは責任を負うべきだ」と補足した。
ブロックチェーンセキュリティ企業Cyversの分析によると、攻撃者はわずか3分でさらに1億ドルを窃取したが、その後すぐにブラックリストに登録され、行動が阻止された。Cyversの最高技術責任者であるメル・ドレーフは、この攻撃は単一の通信チャネルを欺くことを基盤としていたと述べている。解密
攻撃者は、Unichain 上で引き出しが実際に発生したかを確認するための2つの検証ラインを侵入し、これらのラインに偽の「はい」を入力した後、残りのラインをオフラインにし、検証器が侵入されたラインに依存するように強制しました。
「金庫には問題ありません。警備員は正直です。ドアのロック機構も正常です，」ドレフは言いました。「嘘は、言葉で金庫を開けた人物に直接そっと伝えられました。」
しかし、洪水対策の橋のインフラを提供するLayerZeroは、Lazarusが原因である可能性を指摘しているが、Cyversは自身の分析では同様の結論に至っていない。
多列夫は、いくつかのパターンが朝鮮民主主義人民共和国の行動と複雑さ、規模、調整された実行の点で一致しているが、そのグループに関連するウォレットの集団感染は確認されていないと述べた。
彼はさらに、悪意のあるノードソフトウェアは、攻撃が終了した後に自ら削除されるよう精心して設計されており、バイナリファイルとログを消去することで、リアルタイムおよび事後の攻撃者の痕跡を隠蔽すると補足した。
今月の初め、攻撃者は排水した約2億8500万ドルのソラナベースの永続契約プロトコルDriftを、後続の脆弱性利用で北朝鮮のスパイに帰属させた。
Dolevは、Driftのハッキング攻撃が「準備と実行の面で非常に異なる」が、両方の攻撃には長期間の準備、高度な専門知識、そして大量のリソースが必要だったと指摘した。
Cyversは、盗まれた資金がこのイーサリアムアドレスに転送されたと疑っている。独立した報告によると、チェーン調査員のZachXBTは、この攻撃アドレスを特定し、他の4つの攻撃アドレスと共にマークした。これらの攻撃アドレスの資金源は……コインミキサーである。ZachXBTの報告によると、Tornado Cashが大流行している。