KelpDAO กล่าวหา LayerZero
KelpDAO กล่าวหา LayerZero ว่าเป็นต้นเหตุของการโจมตีมูลค่า 292 ล้านดอลลาร์ และมีแผนที่จะเปิดตัวใหม่ด้วยระบบข้ามสายที่ออกแบบใหม่บน Chainlink. กลุ่มนี้ประกาศบน X เมื่อวันอังคารว่า:
“จากเหตุการณ์เมื่อวันที่ 18 เมษายน เป็นที่ชัดเจนว่าโครงสร้างพื้นฐานของ LayerZero เองถูกโจมตี ส่งผลให้เกิดการสูญเสีย 300 ล้านดอลลาร์ใน DeFi”
Kelp DAO เขียนบน X “รายงานอิสระจาก SEAL 911, Chainalysis และนักวิจัยด้านความปลอดภัยชั้นนำอื่น ๆ ต่างชี้ไปที่ต้นตอเดียวกัน” ในเดือนเมษายน การโจมตีได้ทำให้มีการสูญเสียประมาณ 116,500 rsETH ซึ่งเป็นโทเค็นการสเตคที่ใช้ Ethereum จากสะพานข้ามสายที่ Kelp ใช้ ซึ่งเป็นโปรโตคอลที่ให้ผู้ใช้สามารถสเตค Ethereum และย้ายโทเค็นระหว่างบล็อกเชน.
การโจมตีนี้เชื่อมโยงกับกลุ่ม Lazarus ของเกาหลีเหนือ. ในโพสต์แยกต่างหากบน X Kelp กล่าวว่าเจ้าหน้าที่ของ LayerZero ได้อนุมัติการตั้งค่าที่เชื่อมโยงกับการโจมตีและไม่ได้เตือนว่ามันมีความเสี่ยงด้านความปลอดภัย. การตั้งค่าที่เรียกว่า 1-of-1 verifier ขึ้นอยู่กับเอนทิตีเดียวในการตรวจสอบธุรกรรมข้ามสาย.
Kelp กล่าวว่า การโจมตีเกิดจากการละเมิดโครงสร้างพื้นฐานของ LayerZero ซึ่งผู้โจมตีได้เข้าถึงโหนด RPC ของเครือข่าย verifier และบังคับให้ระบบต้องพึ่งพาข้อมูลที่ถูกดัดแปลง ทำให้ธุรกรรมปลอมได้รับการอนุมัติ.
“หลังจากการโจมตี LayerZero ประกาศว่าจะไม่ลงนามหรือรับรองข้อความสำหรับแอปพลิเคชันใด ๆ ที่ใช้การตั้งค่า 1-1 DVN”
Kelp เขียน “การเปลี่ยนแปลงนโยบายนี้ ซึ่งเกิดขึ้นหลังจากที่มีการโจมตีมูลค่าหลายร้อยล้านดอลลาร์ ยืนยันว่านี่เป็นการตั้งค่าที่ใช้กันอย่างแพร่หลายซึ่ง LayerZero Labs เปลี่ยนแปลงหลังจากที่มันล้มเหลว”.
ในแถลงการณ์เมื่อเดือนเมษายน LayerZero ได้ปฏิเสธบัญชีนี้ โดยกล่าวว่าการโจมตีถูกจำกัดอยู่ที่แอปพลิเคชัน rsETH ของ Kelp และเกิดจากการใช้การตั้งค่าที่มีผู้ตรวจสอบเพียงคนเดียวซึ่งขัดกับโมเดลผู้ตรวจสอบหลายคนที่บริษัทแนะนำ.
“การนำเสนอในลักษณะนี้ไม่ตรงกับข้อเท็จจริง”
Kelp DAO เขียน “เป็นเรื่องที่อยู่ในโดเมนสาธารณะว่าการตั้งค่า 1-1 นี้ไม่ใช่เอกลักษณ์เฉพาะของ Kelp”. ตามที่ Kelp กล่าว บริษัทได้ปฏิบัติตามเอกสารและการตั้งค่าเริ่มต้นของ LayerZero. บริษัทยังกล่าวว่าการตั้งค่านี้ถูกใช้กันอย่างแพร่หลายในระบบนิเวศ โดยชี้ให้เห็นถึงข้อมูลที่แสดงให้เห็นว่าส่วนแบ่งใหญ่ของแอปพลิเคชันพึ่งพาการตั้งค่าที่คล้ายกัน.
Kelp กล่าวว่า กำลังย้ายระบบ rsETH ไปยังโปรโตคอลการทำงานร่วมกันข้ามสายของ Chainlink ซึ่งธุรกรรมต้องได้รับการอนุมัติโดยผู้ตรวจสอบอิสระหลายคนแทนที่จะเป็นผู้ตรวจสอบเพียงคนเดียว.
“เรามุ่งมั่นที่จะทำงานร่วมกับทีม KelpDAO ในการปรับปรุงความปลอดภัยข้ามสายของ rsETH และสนับสนุนการย้ายไปยัง Chainlink CCIP”
Johann Eid หัวหน้าฝ่ายธุรกิจของ Chainlink กล่าวกับ Decrypt “เรามีความเชื่อมานานแล้วว่าเพื่อให้ DeFi สามารถเข้าถึงศักยภาพเต็มที่ในการนำเงินหลายล้านล้านดอลลาร์เข้าสู่ระบบออนไลน์ ระบบนิเวศต้องได้รับการสนับสนุนโดยโครงสร้างพื้นฐานที่มีความปลอดภัยสูง”.
ผลกระทบจากการโจมตีของ Kelp ได้ขยายออกไปเกินกว่าข้อพิพาททางเทคนิค ประมาณ 71 ล้านดอลลาร์ ในคริปโตที่เชื่อมโยงกับการโจมตีถูกแช่แข็งในเครือข่าย Arbitrum ทำให้เกิดการต่อสู้ทางกฎหมายในศาลรัฐบาลกลางนิวยอร์ก.
“มีคำถามที่ระบบนิเวศสมควรได้รับคำตอบ”
Kelp DAO เขียน “และเรากำลังทำให้แน่ใจว่า rsETH ได้รับการป้องกันโดยโครงสร้างพื้นฐานที่ไม่ทิ้งคำถามเหล่านี้ไว้เปิด”. LayerZero ไม่ได้ตอบสนองต่อคำขอความคิดเห็นจาก Decrypt ทันที.
