โพสต์วิเคราะห์หลังเหตุการณ์นี้น่าสนใจ แต่กลับทำให้ฉันมีคำถามเพิ่มขึ้น เพราะดูเหมือนจะตอบโต้อย่างป้องกันตัวมากเกินไป อย่างไรก็ตาม มาเริ่มจากพื้นฐานกันก่อน ตามข้อมูลจาก LZ เมื่อวันที่ 18 เมษายน กลุ่ม Lazarus ของเกาหลีเหนือ (หน่วย TraderTraitor) ขโมยเงิน 290 ล้านดอลลาร์จากสะพาน rsETH ของ KelpDAO การโจมตีทีละขั้นตอน: ❶ ผู้โจมตีค้นหารายการโหนด RPC (ตาของระบบ) ที่ตัวตรวจสอบของ LayerZero เชื่อถือเพื่อหาความจริง ❷ แฮ็กโหนด 2 แห่ง ติดตั้งซอฟต์แวร์ที่เป็นอันตรายเพื่อโกหกเฉพาะกับตัวตรวจสอบ แต่บอกความจริงกับทุกคนอื่น เพื่อให้ระบบตรวจสอบไม่เห็นสิ่งผิดปกติ ❸ โจมตี DDoS โหนด RPC ที่ซื่อสัตย์ให้ล่ม ตัวตรวจสอบจึงสลับไปใช้โหนดที่ถูกปนเปื้อน ❹ ตัวตรวจสอบได้รับข้อมูลธุรกรรมปลอมว่าเป็นของจริง แล้วยืนยัน สะพานจึงปล่อย rsETH มูลค่า 290 ล้านดอลลาร์ที่ไม่มีหลักประกันใดๆ ❺ ซอฟต์แวร์อันตรายทำลายตัวเอง ไฟล์ไบนารีถูกลบ บันทึกถูกลบ และการตั้งค่าหายไป LZ ระบุว่า Kelp ใช้ตัวตรวจสอบเพียงหนึ่งเดียว (การตั้งค่า DVN 1-of-1) แม้จะได้รับคำเตือนซ้ำๆ จาก LayerZero การใช้ตัวตรวจสอบเพียงหนึ่งเดียวคือจุดล้มเหลวเพียงจุดเดียว และยืนยันว่าความเสียหายจำกัดอยู่เฉพาะที่นี่เท่านั้น ยังไม่มีการแพร่กระจายไปยังสินทรัพย์อื่นใด แต่ฉันยังมีคำถามอีกมาก โปรดช่วยชี้แจง: - หากการใช้ DVN 1/1 เป็นความผิดพลาดทางวิชาชีพ ทำไมถึงอนุญาตให้เปิดใช้งานได้? - โครงสร้างพื้นฐานที่ถูกโจมตีเป็นของ LayerZero Labs ไม่ใช่ของ Kelp - ผู้โจมตีได้รายการ RPC มาได้อย่างไรในขั้นแรก? - การแทนที่ไบนารีบนโหนดผลิตหมายถึงการถูกโจมตีระดับรูท เกี่ยวกับการปนเปื้อน RPC: ไม่ว่าจะเป็นการรั่วไหลของการตั้งค่านี้ (ซึ่งบ่งชี้ถึงการถูกโจมตีก่อนหน้าที่ LayerZero ไม่ได้เปิดเผย) หรือผู้โจมตีคาดเดาได้ผ่านการวิเคราะห์การจราจรอย่างซับซ้อน การแทนที่ไบนารี op-geth ที่ทำงานอยู่บนโหนด RPC ผลิตจำเป็นต้องมีหนึ่งในสามสิ่งนี้: การเข้าถึงระดับรูทบนเซิร์ฟเวอร์, การถูกโจมตีในกระบวนการปรับใช้งาน, หรือการเข้าถึงจากภายใน แล้วเกิดอะไรขึ้น? คำแถลงไม่ได้ระบุไว้ หากเป็นกระบวนการปรับใช้งานที่ถูกโจมตี ก็ถือเป็นเหตุการณ์การรั่วไหลในห่วงโซ่อุปทาน หากเกิดจากการละเมิดข้อมูลประจำตัว ขอบเขตของการโจมตีกว้างกว่าที่พวกเขายอมรับ คำแถลงหลีกเลี่ยงคำถามนี้โดยสิ้นเชิง