DeFi мосты сталкиваются с усиленным давлением на безопасность после крупного взлома, выявившего структурные слабости в дизайне верификаторов и зависимостях инфраструктуры. Последствия расширяют вопросы ответственности для Layerzero Labs и усиливают опасения, связанные с концентрированными моделями валидации.
Основные выводы:
- LayerZero представила эксплуатацию как сбой инфраструктуры, что подорвало доверие к моделям безопасности мостов.
- Зак Райнес из Chainlink обвинил централизацию валидаторов в росте рисков для доверия в DeFi.
- KelpDAO теперь сталкивается с давлением для внедрения многодиспетчерских DVN-конфигураций, что сигнализирует о более строгих стандартах в ближайшем будущем.
DeFi мосты безопасности раскрывают структурные уязвимости
Серьезное межцепочечное нарушение безопасности усиливает контроль за дизайном мостов в децентрализованных финансах (DeFi) после того, как LayerZero Labs представила свою версию инцидента с эксплуатацией KelpDAO на сумму около 290 млн долларов США в rsETH. 18 апреля заявление было опубликовано на социальной платформе X, представив инцидент как атаку на уровне инфраструктуры, которая раскрыла риски, связанные с концентрированными настройками верификаторов.
В заявлении Layerzero Labs указала:
Предварительные данные указывают на то, что атака была проведена высококвалифицированным государственным актором, скорее всего группой Lazarus из КНДР, а именно TraderTraitor.
Согласно предоставленным данным, атака была направлена на инфраструктуру удаленных процедурных вызовов нижестоящего уровня, используемую его децентрализованной сетью верификаторов. Вместо эксплуатации самого протокола злоумышленники, предположительно, отравили RPC-системы, манипулировали данными, представляемыми верификатору, и применили распределенные атаки типа «отказ в обслуживании» против незараженных конечных точек. Эта комбинация позволила проверить мошеннические транзакции, избегая обнаружения в системах мониторинга.
Layerzero Labs связал основную уязвимость с конфигурацией rsETH от KelpDAO, которая опиралась на структуру DVN «один из одного». Эта модель не позволяла независимому проверяющему отклонить поддельное сообщение, как только инфраструктура была скомпрометирована. В заявлении утверждалось, что такая настройка противоречит давним рекомендациям по использованию многократной избыточности DVN. Также говорилось, что правильно диверсифицированная конфигурация потребовала бы согласия нескольких проверяющих, что сделало бы атаку неэффективной даже при компрометации одного пути.
Дебаты о подотчетности усиливаются в инфраструктуре Crypto
Layerzero Labs также подчеркнула, что влияние осталось ограниченным в рамках всей экосистемы. «Мы провели всесторонний обзор активных интеграций в протоколе Layerzero», — заявила Layerzero Labs, подчеркнув:
Мы можем с уверенностью подтвердить, что никакого заражения на другие активы или приложения не происходит.
«Этот инцидент полностью ограничился конфигурацией rsETH KelpDAO как прямое следствие их одиночной установки DVN», — добавили они. Такая формулировка поддерживает точку зрения, что протокол работал так, как и задумывалось, а модульная безопасность ограничила ущерб одной интеграцией, не создав более широкого системного риска.
Реакция сообщества резко разделилась, причем некоторые прямо оспаривали эту интерпретацию. Зак Райнес, связующее звено сообщества в Chainlink, высказался на X: «Как и ожидалось, Layerzero перекладывает ответственность за то, что их собственная инфраструктура DVN нода была скомпрометирована и вызвала эксплойт моста на $290 млн». Он утверждал, что проблема возникла из-за сочетания контроля над инфраструктурой и концентрации валидаторов, создавая единую точку отказа. Райнес еще несколько лет назад предупредил об этом риске централизации и отметил, что такие схемы подвергают пользователей повышенным системным рискам. «Утверждение, что не было распространения заражения, — просто вишенка на торте», — заключил он. Спор отражает более широкое разногласие по поводу подотчетности, когда одна сущность контролирует как инфраструктуру, так и валидацию.