LayerZero tunnistab ühe validatsioonitegija puuduse Lazarus-i rünnakus ja kohustub mitme validatsioonitegija turvalisuse täielikku ülesehitamisse

BitcoinWorld

LayerZero tunnistab ühevalija puuduse Lazarus-rünnakus ja võtab endale kohustuse mitmevalija turvalisuse täielikuks üleseadmiseks

LayerZero (ZRO), ristahela sõnumivahetuse protokoll, on avalikult tunnistanud kriitilise turvaviga, mis võimaldas Põhja-Korea krüptorünnakurühmitusel Lazarus kasutada oma infrastruktuuri eelmisel juhtumil. Projekti avatud postitus oma ametlikus X-akontol vabandab halva suhtluse eest ja tunnistab, et tema Detsentraliseeritud kontrollvõrgu (DVN) alamkomponendi töötamine ühevalija režiimis oli tõsine viga.

Mis juhtus rünnaku ajal

Käesolev juhtum puudutas LayerZero DVN-i alam-RPC-d. Projekti teatamise kohaselt õnnestus Lazarus-rühmitusel andmeid selle kompromitteeritud alam-RPC kaudu muuta. Samal ajal tabati välist RPC-pakkuja jaotatud teenusekatkestusatakk (DDoS), millega suurenes operatsiooniline häire. LayerZero rõhutas, et põhiprotokoll ise jäi puutumata ja et kasutajate fonde ei kaotatud otse LayerZero võrgust. Siiski oli sündmus seotud laiemaga Kelp DAO rsETH rünnakuga, kus rünnakute sooritajad kasutasid silla ebaseaduslike vahendite liigutamiseks.

Ühevalija režiim: põhjus

LayerZero post-mortemi analüüs märkis ühevalija seadistuse põhjusena. Detsentraliseeritud kontrollvõrgus loob üks valija ühe purunemiskoha. Kui see valija kompromitteeritakse või läheb võrgust välja, saab kogu kontrollprotsess muutuda vigaseks või peatuda. Projekt tunnistas, et see konfiguratsioon oli tõsine disainipuudus ja et ta ei suutnud olukorra tõsidust ühiskonnale õigeaegselt edasi anda.

Edasine teekond: mitmevalija ja infrastruktuuri üleseadmine

Vastusena on LayerZero teatanud üldise turvalisuse uuendusest. Protokoll lõpetab kohe ühevalija seadistuse kasutamise ja ülemineb vaikimisi konfiguratsioonis mitmevalija süsteemile, kus nõutakse vähemalt 3:3 läve – st kolmest kolmest valijast peavad leppima tehingu kinnitamises. See muudatus kõrvaldab ühe purunemiskoha ja viib võrgu vastavusse tööstuse parimate praktikatega detsentraliseeritud turvalisuse osas.

Täielik turvalisuse infrastruktuuri uuendus

Valijate muudatusest hoolimata plaanib LayerZero oma turvalisuse infrastruktuuri täieliku üleseadmise. Selle hulka kuulub uue klienttarkvara arendamine, kriitiliste haldustegevuste jaoks mitmekordse allkirjastamise (multisig) süsteemi tutvustamine ning integreeritud konsoolihaldusplatvormi kasutuselevõtt. Need meetmed on mõeldud parema jälgimise, kiirema insidentide reageerimise ja suurema üldise vastupidavuse tagamiseks keerukate ohutegijate, näiteks Lazarus, vastu.

Miks see on tähtis

See juhtum on hoiatav lugu kogu DeFi ja ristahela ökosüsteemile. Kuna sillad ja sõnumivahetuse protokollid muutuvad kriitiliseks infrastruktuuriks väärtuste liigutamiseks erinevate blokiahelate vahel, peab nende turvalisuse seadistusi hoidma kõrgeimatel standarditel. Ühevalija seadistus, kuigi võib olla lihtsam käitada, teeb kindlaks tundlikkuse, millele riikliku toega krüptorünnakurühmitused aktiivselt järgnevad. LayerZero tunnistus ja parandusmeetmed on samm usalduse taastamise poole, kuid see episood rõhutab pidevat relvastusvõistlust protokollide arendajate ja aina soovitumate rünnakute sooritajate vahel.

Kokkuvõte

LayerZero tunnistus oma varasemast turvavigast ja tema kohustus mitmevalija tuleviku suunas on vajalik, kui ka hilinenud reageering tõsisele juhtumile. Üleminek 3:3 valijate süsteemile koos laiemaga infrastruktuuri uuendusega tähistab olulist parannust. Kasutajate ja arendajate jaoks, kes toetuvad ristahela infrastruktuurile, kinnitab see episood transparentsuse ja tugevate turvalisuse seadistuste nõudmise tähtsust protokollidelt, millele nad toetuvad.

KKK

K1: Kas LayerZero protokollit ise rünnati?
Ei. LayerZero väitis, et tema põhiprotokoll jäi puutumata. Rünnak sihtis tema Detsentraliseeritud kontrollvõrgu (DVN) alam-RPC-d ja välist RPC-pakkuja.

K2: Kas kasutajad kaotasid selles juhtumis fonde?
LayerZero ei ole teatanud mingist otsest kasutajate fondide kaotusest oma võrgust. Juhtum oli seotud Kelp DAO rsETH rünnakuga, kus sild kasutati rünnakukettas osana.

K3: Mis on 3:3 mitmevalija süsteem?
3:3 süsteem nõuab, et kolmest kolmest valijast kinnitaksid tehingu enne, kui seda kinnitatakse. See kõrvaldab ühe purunemiskoha, mis on olemas ühevalija seadistuses, ja pakub tugevamaid turvalisuse garantiisid.

See postitus „LayerZero tunnistab ühevalija puudust Lazarus-rünnakus ja võtab endale kohustuse mitmevalija turvalisuse täielikuks üleseadmiseks“ ilmus esmakordselt BitcoinWorld’is.