Cuối tuần qua, KelpDAO đã bị khai thác mất 290 triệu USD rsETH. KelpDAO sử dụng LayerZero làm cầu nối liên chuỗi, và đội ngũ LZ đã đăng bài phân tích hậu sự, đổ lỗi hoàn toàn cho KelpDAO về sự cố này. Dưới đây là cách vụ tấn công diễn ra. Cơ bản, kẻ tấn công đã xâm nhập vào một số RPC được sử dụng bởi một DVN (Decentralized Verifier Network) duy nhất mà KelpDAO tích hợp, thực hiện tấn công DDoS lên các endpoint trung thực, sau đó sử dụng các RPC bị nhiễm độc để tạo giả tin nhắn liên chuỗi. Đúng vậy, KelpDAO không nên sử dụng chỉ một DVN để bảo vệ phiên bản cầu nối của mình. Đó là một sai lầm. Nhưng bạn có biết ai vận hành DVN duy nhất đó – nơi các RPC bị xâm phạm – không? LayerZero Labs – nhà phát triển của cầu nối. Rõ ràng KelpDAO không phải là người duy nhất phải chịu trách nhiệm ở đây. Câu hỏi của tôi: 1) Làm thế nào kẻ tấn công có thể tiếp cận hạ tầng RPC của LayerZero Labs? 2) Tại sao lại cho phép sử dụng các DVN đơn lẻ? 3) Chúng ta nên nghĩ về các tiêu chuẩn tối thiểu cho bảo mật liên chuỗi ngày nay như thế nào: số lượng DVN, sự đa dạng của các nhà cung cấp hạ tầng, hay một tiêu chí rõ ràng “không có điểm lỗi đơn lẻ”? Đây là thời điểm khó khăn đối với DeFi hiện nay. Đây là bài phân tích hậu sự đầy tàn nhẫn: https://t.co/P647A4QdpQ