DeFi bridge security está sob pressão mais intensa após uma grande exploração expor fraquezas estruturais no design do verificador e nas dependências de infraestrutura. As consequências estão ampliando as questões de responsabilidade para a Layerzero Labs e reforçando preocupações sobre modelos de validação concentrados.
Principais conclusões:
- A Layerzero caracterizou a exploração como falha de infraestrutura, enfraquecendo a confiança nos modelos de segurança de pontes.
- Zach Rynes, da Chainlink, culpou a centralização de validadores pelo aumento dos riscos de credibilidade no DeFi.
- KelpDAO agora enfrenta pressão para adotar configurações multi-DVN, sinalizando padrões mais rigorosos à frente.
DeFi Bridge Security Risks Expose Structural Weaknesses
Uma grave violação de segurança entre cadeias está intensificando a análise do design de pontes em finanças descentralizadas ( DeFi) após a LayerZero Labs apresentar sua versão do exploit de aproximadamente US$ 290 milhões em rsETH da KelpDAO. Em 18 de abril, o comunicado foi publicado na plataforma de mídia social X, apresentando o incidente como um ataque ao nível da infraestrutura que expôs riscos associados a configurações de verificadores concentradas.
Na declaração, a Layerzero Labs afirmou:
Indicadores preliminares sugerem a atribuição a um ator estatal altamente sofisticado, provavelmente o Grupo Lazarus da RPDC, mais especificamente o TraderTraitor.
De acordo com os detalhes fornecidos, o ataque visou a infraestrutura de chamada remota de procedimento de montante utilizada pela sua Rede de Verificadores Descentralizados. Em vez de explorar o próprio protocolo, os atacantes supostamente envenenaram sistemas RPC, manipularam os dados apresentados ao verificador e aplicaram pressão por meio de ataques de negação de serviço distribuída contra endpoints não comprometidos. Essa combinação permitiu que transações fraudulentas fossem validadas, evitando detecção nos sistemas de monitoramento.
Layerzero Labs atribuiu a principal fraqueza à configuração rsETH da KelpDAO, que dependia de uma estrutura DVN de um-para-um. Esse modelo deixou sem nenhum verificador independente capaz de rejeitar uma mensagem falsificada uma vez que a infraestrutura de suporte fosse comprometida. A declaração argumentou que essa configuração ia contra recomendações de longa data para redundância multi-DVN. Também afirmou que uma configuração adequadamente diversificada exigiria consenso entre múltiplos verificadores, o que teria tornado o ataque ineficaz mesmo se um caminho tivesse sido comprometido.
O debate sobre responsabilidade se intensifica na infraestrutura Crypto
A Layerzero Labs também enfatizou que o impacto permaneceu contido em todo o ecossistema. “Realizamos uma revisão abrangente das integrações ativas no protocolo Layerzero”, afirmou a Layerzero Labs, enfatizando:
“Podemos confirmar com confiança que não há nenhum contágio para qualquer outro ativo ou aplicação.”
“Este incidente foi totalmente isolado na configuração rsETH do KelpDAO como consequência direta de sua estrutura de único DVN”, acrescentaram. Essa abordagem sustenta a visão de que o protocolo funcionou conforme o previsto, com segurança modular limitando os danos a uma única integração, em vez de gerar exposição sistêmica mais ampla.
A reação da comunidade foi fortemente dividida, com alguns desafiando diretamente essa interpretação. Zach Rynes, ligação comunitária da Chainlink, opinou no X: “Como esperado, a Layerzero está desviando a responsabilidade de que sua própria infraestrutura de node DVN foi comprometida e causou um ataque de ponte de US$ 290 milhões.” Ele argumentou que o problema decorreu tanto do controle da infraestrutura quanto da concentração de validadores, criando um ponto único de falha. Rynes sinalizou esse risco de centralização anos atrás e alertou que tais configurações expõem os usuários a riscos sistêmicos desproporcionais. “Afirmar que não houve contágio é apenas a cereja do bolo,” ele concluiu. A disputa reflete uma divisão mais ampla sobre responsabilidade quando uma única entidade controla tanto a infraestrutura quanto a validação.