DeFi bridge đang chịu áp lực lớn hơn về bảo mật sau một vụ khai thác lớn phơi bày những điểm yếu về cấu trúc trong thiết kế trình xác minh và các phụ thuộc hạ tầng. Hậu quả đang mở rộng các câu hỏi về trách nhiệm đối với Layerzero Labs và củng cố những lo ngại về các mô hình xác thực tập trung.
Những điểm chính:
- Layerzero mô tả vụ khai thác là sự cố hạ tầng, làm suy yếu niềm tin vào các mô hình bảo mật cầu nối.
- Zach Rynes của Chainlink đổ lỗi cho sự tập trung hóa của validator, làm gia tăng rủi ro về độ tin cậy trên toàn bộ DeFi.
- KelpDAO hiện đang đối mặt với áp lực phải áp dụng các thiết lập đa DVN, cho thấy các tiêu chuẩn chặt chẽ hơn sắp tới.
DeFi Bridge gặp rủi ro bảo mật, phơi bày những điểm yếu về cấu trúc
Một vụ vi phạm bảo mật liên chuỗi nghiêm trọng đang gia tăng sự giám sát đối với thiết kế cầu trong finance phi tập trung ( DeFi) sau khi LayerZero Labs trình bày bản tường thuật về vụ khai thác rsETH trị giá khoảng 290 triệu USD của KelpDAO. Vào ngày 18 tháng 4, thông báo đã được đăng trên nền tảng mạng xã hội X, mô tả sự cố như một cuộc tấn công ở cấp độ hạ tầng, phơi bày các rủi ro liên quan đến các thiết lập trình xác minh tập trung.
Trong tuyên bố, Layerzero Labs cho biết:
Các chỉ báo sơ bộ cho thấy sự liên quan đến một thực thể nhà nước cực kỳ tinh vi, có khả năng là Nhóm Lazarus của CHDCND Triều Tiên, cụ thể hơn là TraderTraitor.
Theo các chi tiết được cung cấp, cuộc tấn công nhắm vào cơ sở hạ tầng remote procedure call phía sau được sử dụng bởi Mạng Người xác minh Phi tập trung của nó. Thay vì khai thác chính giao thức, các kẻ tấn công được cho là đã làm ô nhiễm các hệ thống RPC, thao túng dữ liệu được trình bày cho người xác minh và sử dụng áp lực từ các cuộc tấn công từ chối dịch vụ phân tán chống lại các điểm cuối chưa bị xâm phạm. Sự kết hợp này cho phép các giao dịch gian lận được xác thực trong khi tránh bị phát hiện bởi các hệ thống giám sát.
Layerzero Labs đã gán sự yếu tố chính cho cấu hình rsETH của KelpDAO, vốn dựa vào cấu trúc DVN một-một. Mô hình này không để lại bất kỳ trình xác thực độc lập nào có thể từ chối một thông điệp giả mạo khi cơ sở hạ tầng hỗ trợ bị xâm phạm. Tuyên bố cho rằng thiết lập này đi ngược lại các khuyến nghị lâu đời về tính dư thừa đa-DVN. Nó cũng cho rằng một cấu hình được đa dạng hóa đúng cách sẽ yêu cầu sự đồng thuận từ nhiều trình xác thực, điều này sẽ khiến cuộc tấn công trở nên vô hiệu ngay cả khi một con đường duy nhất bị xâm phạm.
Cuộc tranh luận về trách nhiệm giải trình ngày càng gia tăng trong cơ sở hạ tầng Crypto
Layerzero Labs cũng nhấn mạnh rằng tác động vẫn được kiểm soát trong toàn bộ hệ sinh thái. “Chúng tôi đã tiến hành đánh giá toàn diện các tích hợp đang hoạt động trên giao thức Layerzero,” Layerzero Labs cho biết, nhấn mạnh:
“Chúng tôi có thể xác nhận một cách tự tin rằng không có sự lây lan nào đến bất kỳ tài sản hoặc ứng dụng nào khác.”
“Sự cố này hoàn toàn chỉ ảnh hưởng đến cấu hình rsETH của KelpDAO do hậu quả trực tiếp từ thiết lập single-DVN của họ,” họ bổ sung. Cách diễn đạt này hỗ trợ quan điểm rằng giao thức hoạt động như mong đợi, với bảo mật mô-đun hạn chế thiệt hại chỉ ở một tích hợp duy nhất thay vì tạo ra rủi ro hệ thống rộng hơn.
Phản ứng của cộng đồng chia rẽ rõ rệt, với một số người trực tiếp phản bác cách diễn giải đó. Zach Rynes, người liên lạc cộng đồng tại Chainlink, đưa ra quan điểm trên X: “Như đã dự đoán, Layerzero đang né tránh trách nhiệm rằng cơ sở hạ tầng nút mạng DVN của chính họ đã bị xâm phạm và gây ra vụ khai thác cầu trị giá 290 triệu USD.” Anh cho rằng vấn đề xuất phát từ cả việc kiểm soát cơ sở hạ tầng và sự tập trung của người xác thực, tạo thành điểm lỗi duy nhất. Rynes đã cảnh báo về rủi ro tập trung hóa này cách đây nhiều năm và nhấn mạnh rằng các cấu hình như vậy khiến người dùng đối mặt với rủi ro hệ thống lớn bất thường. “Việc tuyên bố không có sự lây lan chỉ là lớp kem topping trên cùng,” anh kết luận. Cuộc tranh cãi này phản ánh sự chia rẽ rộng hơn về trách nhiệm khi một thực thể kiểm soát cả cơ sở hạ tầng và quá trình xác thực.