İlginç bir post-mortem burada, ancak bu kadar savunmacı görünmesi nedeniyle daha fazla soru bırakıyor. Her neyse, önce temel noktalara gidelim. LZ'ye göre, 18 Nisan'da Kuzey Kore'nin Lazarus Grubu (TraderTraitor birimi), KelpDAO'nun rsETH köprüsünden 290 milyon dolar çaldı. Saldırı, adım adım: ❶ Saldırgan, LayerZero'nun gerçekliği doğrulamak için güvendiği RPC düğümlerinin listesini („gözler”) buldu ❷ Bunlardan ikisini ele geçirdi. Zararlı yazılımı, doğrulayıcıya yalnızca yalanları iletcek şekilde ayarladı; diğer tüm sistemlere gerçek bilgileri verdi ki izleme sistemleri hiçbir şeyin yanlış olmadığını gördü ❸ Dürüst RPC'leri DDoS ile çevrimdışı hale getirdi. Doğrulayıcı, kirlenmiş düğümlere geçti ❹ Doğrulayıcıya sahte bir işlem gerçekmiş gibi sunuldu. Onay verildi. Köprü, hiçbir şeyle desteklenmeyen 290 milyon dolarlık rsETH'i serbest bıraktı ❺ Zararlı yazılım kendini yok etti. İkili dosya silindi, günlükler temizlendi, yapılandırmalar silindi LZ, Kelp'in LayerZero'nun tekrarlı uyarılarına rağmen tek bir doğrulayıcı (1-of-1 DVN kurulumu) kullandığını belirtti. Tek bir doğrulayıcı, tek bir hata noktası ve hasarın izole olduğunu doğrular. Şu ana kadar başka herhangi bir varlığa bulaşma yok. Ancak hâlâ birçok sorum var, cmiiw: - Eğer 1/1 DVN bir ihmalse, neden serbest bırakıldı? - Kirlenmiş altyapı LayerZero Labs'a ait, Kelp'e değil. - Saldırgan RPC listesini ilk olarak nasıl elde etti? - Üretim düğümlerinde ikili dosyanın değiştirilmesi, kök düzeyinde bir ele geçirme anlamına gelir. RPC zehirlemesi konusunda: ya bu yapılandırma sızdı (ki bu da önceden bildirilmemiş bir LayerZero ihlalini gösterir), ya da saldırgan ince trafik analizi yoluyla bunu çıkarım yaptı. Üretim RPC düğümünde çalışan op-geth ikili dosyasının değiştirilmesi, şu durumlardan birinin meydana gelmesini gerektirir: sunucuda kök erişimi, kirlenmiş bir dağıtım hattı veya dahili erişim. Hangisiydi? Açıklama bunu belirtmiyor. Eğer dağıtım hattıydıysa, bu bir tedarik zinciri olayıdır. Eğer kimlik bilgisi ele geçirildiyse, kapsam onların kabul ettiklerinden daha geniştir. Açıklama bu soruya tamamen dolaşarak yaklaşmış.