Post-mortem yang menarik di sini, tetapi ia meninggalkan saya dengan lebih banyak soalan kerana kelihatan sangat defensif. Bagaimanapun, mari kita mulakan dengan asas terlebih dahulu. Berdasarkan LZ, pada 18 April, Kumpulan Lazarus DPRK (unit TraderTraitor) mencuri $290 juta daripada jambatan rsETH KelpDAO. Serangan itu, langkah demi langkah: ❶ Penyerang mendapati senarai nod RPC (mata "pembesar") yang dipercayai oleh pemverifikasi LayerZero untuk kebenaran ❷ Merompak 2 daripadanya. Menggantikan perisian jahat untuk berbohong hanya kepada pemverifikasi, tetapi memberitahu kebenaran kepada semua orang lain supaya sistem pemantauan tidak melihat sebarang kesalahan ❸ Melancarkan serangan DDoS terhadap nod RPC yang jujur sehingga luar talian. Pemverifikasi berpindah ke nod yang telah diracuni ❹ Pemverifikasi diberi transaksi palsu sebagai benar. Disahkan. Jambatan melepaskan $290 juta rsETH yang tidak disokong oleh apa-apa ❺ Perisian jahat menghancurkan dirinya sendiri. Binari dipadamkan, log dihapuskan, konfigurasi tiada lagi LZ menyatakan bahawa Kelp menggunakan satu pemverifikasi sahaja (penyusunan 1-daripada-1 DVN) berlawanan dengan amaran berulang dari LayerZero. Satu pemverifikasi, satu titik kegagalan, dan mengesahkan bahawa kerosakan adalah terhad. Tiada penyebaran ke mana-mana aset lain sejauh ini. Tetapi saya masih mempunyai banyak soalan, cmiiw: - Jika 1/1 DVN adalah praktek yang salah, mengapa ia dibenarkan untuk dilancarkan? - Infrastruktur yang dirompak milik LayerZero Labs, bukan Kelp. - Bagaimanakah penyerang mendapat senarai RPC pada mulanya? - Menggantikan binari pada nod pengeluaran bermakna kompromi peringkat root. Mengenai racun RPC: sama ada konfigurasi ini bocor (yang menunjukkan kompromi LayerZero sebelumnya yang tidak dilaporkan), atau penyerang menyimpulkannya melalui analisis trafik yang canggih. Menggantikan binari op-geth yang sedang berjalan pada nod RPC pengeluaran memerlukan salah satu daripada yang berikut: akses root pada peranti, saluran penghantaran yang telah dirompak, atau akses dalaman. Yang mana satu? Pernyataan itu tidak menyebutnya. Jika ia adalah saluran penghantaran, ia adalah insiden rantai bekalan. Jika ia adalah kompromi kredensial, lingkungannya lebih luas daripada yang mereka akui. Pernyataan itu mengelakkan soalan ini sepenuhnya.