เดวิด ชวาร์ตซ์ หัวหน้าเจ้าหน้าที่เทคโนโลยี emeritus ของ Ripple ได้ให้ข้อสังเกตที่ชัดเจนในสัปดาห์นี้ หลังจากที่สะพาน rsETH ของ Kelp DAO ถูกโจมตีเป็นมูลค่าประมาณ 292 ล้านดอลลาร์สหรัฐ
เขาเคยเห็นสิ่งนี้กำลังจะเกิดขึ้น ไม่ใช่การโจมตีเฉพาะครั้งนี้ แต่เป็นเงื่อนไขที่ทำให้มันเป็นไปได้
“ฉันได้ประเมินระบบการเชื่อมต่อ DeFi หลายระบบสำหรับการใช้งานโดย RLUSD” ชวาร์ตซ์เขียนบน X “ฉันมุ่งเน้นเกือบแต่เพียงเรื่องความปลอดภัยและความเสี่ยงเท่านั้น ฉันสังเกตเห็นว่าระบบส่วนใหญ่มีการออกแบบที่ดีมากและมีกลไกที่แข็งแกร่งมากในการป้องกันการโจมตีประเภทเดียวกับที่ดูเหมือนเป็นสาเหตุของสถานการณ์ KelpDAO”
การเสนอขายที่กลบฟีเจอร์ด้านความปลอดภัย
สิ่งที่ชวาร์ตซ์อธิบาย เป็นรูปแบบที่เขาพบบ่อยครั้งในกระบวนการประเมินของเขา ผู้ให้บริการสะพานมักจะเน้นย้ำคุณสมบัติด้านความปลอดภัยขั้นสูงสุดของพวกเขาอย่างเด่นชัด แล้วแทบจะทันทีเสนอว่าคุณสมบัติเหล่านั้นเป็นทางเลือก และลูกค้าส่วนใหญ่เลือกไม่ใช้งาน
“พวกเขาโดยทั่วไปมักแนะนำให้ไม่ต้องใช้กลไกความปลอดภัยที่สำคัญที่สุด เนื่องจากมีค่าใช้จ่ายด้านความสะดวกสบายและความซับซ้อนในการดำเนินงาน” เขาเขียน “เราถูกเสนอแนวคิดเกี่ยวกับความเรียบง่ายและความง่ายในการเพิ่มโซ่เพิ่มเติม โดยมีสมมติฐานแฝงว่าเราจะไม่สนใจใช้คุณสมบัติด้านความปลอดภัยที่ดีที่สุดที่พวกเขามี”
“คำโฆษณาของพวกเขาคือพวกเขามีคุณสมบัติด้านความปลอดภัยที่ดีที่สุด แต่ใช้งานและขยายขนาดได้ง่าย โดยสมมติว่าคุณไม่ได้ใช้คุณสมบัติด้านความปลอดภัย” เขากล่าว
เกิดอะไรขึ้นกับ Kelp DAO
เมื่อวันที่ 19 เมษายน Kelp DAO ตรวจพบกิจกรรมข้ามโซ่ที่น่าสงสัยเกี่ยวกับ rsETH และระงับสัญญาบน Mainnet และเครือข่าย Layer 2 หลายแห่ง ประมาณ 116,500 rsETH ถูกดึงออกไปผ่านการเรียกใช้งานสัญญาที่เกี่ยวข้องกับ LayerZero มูลค่าประมาณ 292 ล้านดอลลาร์สหรัฐในราคาปัจจุบัน
การวิเคราะห์บนโซ่จาก D2 Finance ระบุว่าสาเหตุหลักเกิดจากการรั่วไหลของกุญแจส่วนตัวบนโซ่ต้นทาง ซึ่งสร้างปัญหาด้านความเชื่อถือกับโหนด OApp ที่ผู้โจมตีใช้ประโยชน์เพื่อจัดการสะพาน
ชวาร์ตซ์เสนอสมมติฐานของตนเองเกี่ยวกับสิ่งที่น่าจะผิดพลาดในระดับโปรโตคอล “ฉันรู้สึกแปลกๆ ว่าส่วนหนึ่งของปัญหาอาจเกิดจาก KelpDAO ตัดสินใจไม่ใช้คุณสมบัติด้านความปลอดภัยของ LayerZero บางอย่างเพราะความสะดวกสบาย” เขาเขียน
LayerZero เองมีกลไกความปลอดภัยที่แข็งแกร่ง รวมถึงเครือข่ายการยืนยันแบบกระจายศูนย์ คำถามที่นักสอบสวนกำลังพิจารณาอยู่ตอนนี้คือ Kelp DAO ได้ตั้งค่าการใช้งานของตนด้วยการตั้งค่าความปลอดภัยแบบเรียบง่ายที่สุดหรือไม่ โดยเฉพาะจุดล้มเหลวเดียวที่ LayerZero Labs เป็นผู้ยืนยันเพียงรายเดียว แทนที่จะเลือกตัวเลือกที่ซับซ้อนกว่าแต่มีความปลอดภัยสูงกว่าอย่างมาก