No fim de semana, o KelpDAO foi explorado por US$ 290 milhões em rsETH. O KelpDAO utiliza o LayerZero como sua ponte intercadeia, e a equipe do LZ publicou um pós-mortem que culpou exclusivamente o KelpDAO pelo incidente. Aqui está como o ataque ocorreu. Basicamente, o atacante comprometeu um subconjunto de RPCs usados por uma única DVN (Rede Descentralizada de Verificadores) integrada pelo KelpDAO, realizou um ataque DDoS nos endpoints honestos e, em seguida, usou os RPCs envenenados para forjar uma mensagem intercadeia. Sim, o KelpDAO não deveria ter usado uma única DVN para proteger sua instância de ponte. Isso foi irresponsável. Mas você sabe quem opera essa única DVN — a onde os RPCs foram comprometidos? LayerZero Labs — os desenvolvedores da ponte. Claramente, o KelpDAO não é o único a ser culpado aqui. Minhas perguntas: 1) Como os atacantes obtiveram acesso à infraestrutura de RPC da LayerZero Labs? 2) Por que DVNs únicas são sequer permitidas? 3) Como devemos pensar nos padrões mínimos de segurança intercadeia hoje: número de DVNs, diversidade de provedores de infraestrutura ou algum critério explícito de “nenhum ponto único de falha”? Um momento difícil para a DeFi agora. Aqui está o pós-mortem brutal: https://t.co/P647A4QdpQ