DeFi köprü güvenliği, büyük bir istismar sonucu doğrulayıcı tasarım ve altyapı bağımlılıklarında yapısal zayıflıklar ortaya çıkınca daha da artan baskı altında.
Ana Noktalar:
- Layerzero, sızıntıyı altyapı hatası olarak tanımlayarak köprü güvenlik modellerine olan güveni zayıflattı.
- Chainlink’in Zach Rynes, DeFi boyunca artan güvenlik risklerini doğrulayıcı merkeziyetçiliğe bağladı.
- KelpDAO, yakında daha sıkı standartlar işaret eden çoklu DVN yapıları benimsemeye zorlanıyor.
DeFi Köprü Güvenlik Riskleri Yapısal Zayıflıkları Ortaya Çıkarıyor
LayerZero Labs, KelpDAO’nun yaklaşık 290 milyon dolarlık rsETH sızıntısına dair açıklamasını yapınca, decentralized finance ( DeFi) içindeki köprü tasarımına yönelik incelemeler artıyor. 18 Nisan’da statement, sosyal medya platformu X’te paylaşıldı ve olayı, yoğunlaştırılmış doğrulayıcı yapılarına bağlı riskleri ortaya çıkaran bir altyapı düzeyindeki saldırı olarak tanımladı.
Açıklamada Layerzero Labs şunu belirtti:
İlk göstergeler, özellikle TraderTraitor olan Kuzey Kore'nin Lazarus Grubu'na ait olduğunu göstermektedir.
Verilen detaylara göre, saldırı, Merkeziyetsiz Doğrulayıcı Ağı tarafından kullanılan aşağı akış uzak prosedür çağrısı altyapısını hedef aldı. Protokolü doğrudan kullanmak yerine, saldırganlar RPC sistemlerini zehirledi, doğrulayıcıya sunulan verileri manipüle etti ve güvenli olmayan uç noktalara dağıtılmış hizmet reddi baskısı uyguladı. Bu kombinasyon, dolandırıcılık işlemlerinin doğrulanmasını ve izleme sistemleri boyunca tespit edilmeden kalmasını sağladı.
Layerzero Labs, ana zayıflığı, tek bir DVN yapısına dayanan KelpDAO’nun rsETH yapılandırmasına atıfta bulundu. Bu model, destekleyici altyapı zarar gördüğünde sahte bir mesajı reddedebilecek bağımsız bir doğrulayıcı bırakmadı. Açıklama, bu yapıların çoklu DVN yedekliliği için uzun süredir önerilen kurallara aykırı olduğunu savundu. Aynı zamanda, doğru şekilde çeşitlendirilmiş bir yapıların, birden fazla doğrulayıcı arasında uzlaşmaya ihtiyaç duyacağını ve bir yolun zarar görmesine rağmen saldırganın başarısız kalacağını belirtti.
Hesap verebilirlik tartışması Kripto altyapısı boyunca yoğunlaşıyor
Layerzero Labs, etkinliklerin Layerzero protokolü üzerindeki tüm entegrasyonlar üzerinde kapsamlı bir inceleme gerçekleştirdiğini belirtti ve vurguladı:
Başka herhangi bir varlığa veya uygulamaya bulaşma olmadığını kesinlikle doğrulayabiliriz.
“Bu olay, KelpDAO’nun rsETH yapılandırmasına ve tek-DVN kurulumundan doğrudan kaynaklanarak tamamen sınırlı kaldı,” diye eklediler. Bu açıklama, protokolün amaçlandığı gibi çalıştığını ve modüler güvenlik sayesinde hasarın tek bir entegrasyona sınırlı kaldığını, daha geniş sistemik bir maruziyete neden olmadığını destekler.
Topluluk tepkisi keskin şekilde bölündü ve bazıları bu yorumu doğrudan zorladı. Chainlink'in topluluk bağlantı sorumlusu Zach Rynes, X'te şöyle dedi: “Beklendiği gibi, Layerzero, kendi DVN node altyapısının ihlal edildiğini ve 290 milyon dolarlık köprü istilasına neden olduğunu kabul etmekten kaçınıyor.” O, sorunun hem altyapı kontrolü hem de doğrulayıcı yoğunlaşmasından kaynaklandığını, tek bir başarısızlık noktası yarattığını savundu. Rynes, bu merkeziyet riskini yıllar önce işaretlemiş ve böyle yapıların kullanıcıları aşırı sistemik risklere maruz bıraktığını uyardı. “Hiç bulaşma olmadığını iddia etmek sadece üzerine çilek eklemek,” diye sonuçlandırdı. Çatışma, bir varlığın hem altyapıyı hem de doğrulamayı kontrol ettiği durumlarda sorumluluk konusundaki daha geniş bir bölünmeyi yansıtmaktadır.