KelpDAO-broeksplosjonen: En oversikt
For nesten tre uker siden begynte KelpDAO-broeksplosjonen som en teknisk feil og utviklet seg raskt til en bredere test av sikkerheten på tvers av kjeder, protokollfeil og ansvarlighet innen desentralisert finans. Den 18. april utnyttet angripere, som mistenkes å ha forbindelser til Nord-Koreas Lazarus Group, en LayerZero-drevet Omnichain Fungible Token-bro som var koblet til KelpDAOs rsETH. Angrepet tappet omtrent 116 500 rsETH, med tap rapportert nær 292 millioner dollar.
Problemet med verifiseringsoppsettet
Hovedproblemet dreide seg om en enkeltverifiseringsoppsett. KelpDAOs bro brukte en 1-av-1 desentralisert verifiseringsnettverkskonfigurasjon, noe som betydde at én verifiserer kunne validere høyverdi tverrkjedeaktivitet. Kritikere hevdet at strukturen skapte et enkelt feilpunkt. LayerZero uttalte senere at protokollen deres ikke var kompromittert.
I en offentlig oppdatering sa teamet at interne RPC-er brukt av LayerZero Labs DVN ble angrepet av Lazarus Group og fikk sin «kilde til sannhet» forgiftet, mens eksterne RPC-leverandører ble rammet av DDoS-angrep samtidig.
LayerZero åpnet sin oppdatering med en unnskyldning og sa at de hadde gjort en dårlig jobb med kommunikasjonen i løpet av de tre ukene etter eksplosjonen. Teamet sa at de hadde ventet på en fullstendig post-mortem, men burde ha snakket mer direkte tidligere.
Konsekvenser og migrasjon til Chainlink
Selskapet opplyste at hendelsen påvirket én applikasjon, lik 0,14 % av totale applikasjoner, og omtrent 0,36 % av verdien av eiendeler på LayerZero. Det ble også sagt at mer enn 9 milliarder dollar hadde beveget seg over LayerZero etter 19. april uten at andre applikasjoner ble påvirket. Likevel anerkjente LayerZero en viktig feil: å tillate sitt DVN å operere som en 1-av-1 verifiserer for høyverdi-transaksjoner.
KelpDAO har nå gått bort fra LayerZero og valgt Chainlinks Cross-Chain Interoperability Protocol. Skiftet gjør KelpDAO til et av de første store protokollene som forlater LayerZero etter eksplosjonen. Migrasjonen har nå utvidet seg utover KelpDAO, med protokoller som har omtrent 2 milliarder dollar i samlet TVL som flytter fra LayerZero til Chainlink CCIP.
Gjenopprettingsinnsats og fremtidige tiltak
Etter eksplosjonen dannet Aave, KelpDAO, LayerZero og andre deltakere DeFi United for å hjelpe til med å gjenopprette rsETH-backing. LayerZero bidro med omtrent 10 000 ETH, inkludert en donasjon på 5 000 ETH og et lån på 5 000 ETH til Aave. Gjenopprettingsinnsatsen har samlet inn mer enn 300 millioner dollar i kryptovaluta.
LayerZero adresserte også et separat internt problem som involverte en multisig-signerer. Selskapet sa at de har bygget OneSig, et tilpasset multisig-system designet for å forbedre signeringssikkerheten på tvers av støttede kjeder. De planlegger også å heve sin multisig terskel fra 3-av-5 til 7-av-10, der OneSig er tilgjengelig.
Avslutning
Eksplosjonen har nå beveget seg utover én brofeil. Den har blitt en historie om utviklerstandarder, verifiseringsdesign, RPC-sikkerhet, DAO-gjenopprettingsinnsatser, og om tverrkjede-systemer kan beskytte høyverdi-eiendeler uten å stole på skjulte eller svake antagelser.
