Kelp DAO väidab, et LayerZero „vaikimisi“ ühe validatsioonitegija (single-validator) seadistus võimaldas $290 miljoni suuruse rsETH-sildi rünnaku, mis põhjustas kaootilise süüdistuste vahetamise ja kiiret turvamiinimist.

Kelp DAO on vastu seisanud LayerZero ametlikule selgitusele $290 miljoni suuruse sildi rünnaku kohta, väites, et „ühe validatsioonitegijaga“ seadistus, mis võimaldas rünnakutele 116 500 rsETH-i ära viia, ei olnud ebaohutu kohandus, vaid LayerZero enda juhiste kohane vaikimisi seadistus.

Liquidity re-staking’i protokoll teatas CoinDeskile, et selle rsETH-i ristkihiline marsruut kasutas „LayerZero dokumenteeritud vaikimisi seadistust järginud“ 1/1 tsentraliseerimata verifikaatorivõrku (DVN) ja et rünnakute läbi kompromitteeritud validatsioonitegijate tarkvara „kuulub LayerZero enda infrastruktuuri“, mitte kontrollimata kolmanda osapoolele.

Rünnak, mis toimus 18. aprillil, mintis või vabastas 116 500 rsETH-i rünnakutele allutatud aadressile – umbes 18% selle tokeni pakkumisest – ja põhjustas ajahetkel umbes $290–$293 miljoni kaotusi, muutes selle seni 2026. aasta suurimaks DeFi-rünnakuks.

Ühe validatsioonitegijaga süüdistuste vahetus pärast rsETH-rünnakut

Oma uurimisaruandes ja järgnevates avaldustes on LayerZero rõhutanud, et „LayerZero protokoll ei olnud katki“, ja väitnud pigem seda, et Kelp DAO „kasutas tootmises ühe punkti õnnetuse riskiga DVN-i“ tokengi jaoks, mille kogu lukustatud väärtus ületas $1 miljardit.

Interoperatsioonifirma ütles, et „ühe punkti õnnetuse riskiga konfiguratsiooni kasutamine tähendas, et ei olnud sõltumatut verifikaatorit, kes oleks võinud võltsitud sõnumi tuvastada ja tagasi lükata“, ning väitis, et oli varem juba „DVN-i diversifitseerimise parimaid tavasid“ Kelp DAO-le ja teistele partneritele edastanud.

Turvalisusuuringute teadlased ja auditööd, sealhulgas SlowMist kaasasutaja Yu Xian, on kinnitanud, et rsETH-sildi marsruut kasutas 1/1 DVN-i – efektiivselt ühte allkirja – mitte 2/2 või mitme-DVN-i konfiguratsiooni, nimetades seda „ühesallkirjaliseks ühe punkti õnnetuse riskiks“, millele võis aidata ka sotsiaalne inseneritöö.

DeFi jälgimissait DeFiPrime üksikasjalik post-mortem märkis, et LayerZero OApp-mudel võimaldab rakendustel valida, mitu DVN-i peab sõnumile allkirjastama, kus kõrgväärtuslike deploy’ide puhul soovitatakse tavaliselt 2/3 või 3/5 konfiguratsioone, kuid ütles, et Kelpi adapter „oli seadistatud aktsepteerima ühe verifikaatori andmete kinnitust“, mida käitab LayerZero Labs.

Selle disaini tõttu „oli üks võltsitud allkiri piisav, et mistahes ristkihiline sõnum näeks autentne välja“, lubades rünnakutele sildile sisestada vale juhiskäsk, mis imiteeris kehtivat sõnumit teiselt ketil ja põhjustas 116 500 rsETH-i vabastamise „õhust“ nende rahakotti.

Kelp DAO meeskond vastab, et nad rakendasid LayerZero enda avalikku koodi ja vaikimisi seadistusi mitmes võrgus ning et rünnatud DVN „oli tegelikult LayerZero ise töötleminud“, viidates sellele, et vastutus asub vähemalt osaliselt infrastruktuuri pakkujal, mitte ainult rakendusel.

LayerZero on nüüd teinud ebatavalise sammu ja lubanud, et „ta lõpetab sõnumite allkirjastamise kõigi rakenduste jaoks, mis kasutavad ühe validatsioonitegijaga seadistust“, ning sunnib „turvamiinimise“, mis nõuab kõigilt OApp’idelt üleminekut mitme-DVN-i arhitektuurile, kui nad soovivad protokolli kasutada jätkata.

Tagajärjed ulatuvad palju kaugemale kui ühe re-staking’i tokenni.

Nagu crypto.news varasemas artiklis rsETH-rünnaku ja LayerZero põhjenduse kohta, mille kohaselt oli rünnaku taga Põhja-Korea Lazarus Group, on see juhtum taas põhjustanud laiemat arutelu sildide disaini, vaikimisi seadistuste ja modulaarsete ristkihiliste infrastruktuuride vigade korral vastutuse kandmisest.

Seotud crypto.news artiklid, mille saab teksti lisada: Kelp DAO–LayerZero rünnaku ja Lazarus’i põhjendusega seotud kajastus, varasemate ristkihiliste sildide rünnakute analüüs ning uuringud re-staking’i ja likviidse staking’i protokollide kohta, kus smart contract’i risk on kontsentreerunud mitmesse ketisse.