Безопасность DeFi-мостов оказалась под ещё огромным давлением после того, как большая незащищенность обнаружила структурные недочеты в архитектуре верификаторов и зависимости от инфраструктурных объектов. Результаты этого происшествия усиливают вопросы об ответственности Layerzero Labs и ухудшают опаски относительно моделей с централизованной валидацией.
Главные заключения:
- Layerzero квалифицировала незащищенность как сбой инфраструктурных объектов, что подорвало доверие к моделям безопасности мостов.
- Зак Райнс из Chainlink обвинил централизацию валидаторов, что усилило опасности для доверия во всем DeFi.
- KelpDAO сейчас сталкивается с давлением, которые требуют внедрения конфигураций с несколькими DVN, что говорит о дальнейшем ужесточении эталонов.
Опасности безопасности мостов DeFi принимают меры к выявлению структурные беспомощности
Суровое нарушение безопасности межсетевого моста увеличивает внимание к конструкции мостов в сфере децентрализованных денег (DeFi) после того, как LayerZero Labs разгласила собственный отчет об эксплойте rsETH стоимостью примерно 290 млн долларов в KelpDAO. 18 апреля заявление было размещено на социальной площадке X, в каком происшествие был представлен как нападение на уровне инфраструктурных объектов, которая выявила опасности, которые связаны с сосредоточением валидаторов.
В обращении Layerzero Labs указала:
«Подготовительные данные указывают на отношение к происшествию высокопрофессионального муниципального игрока, возможно, группы Lazarus из Северной Кореи, а поточнее — TraderTraitor».
В соответствии с предоставленным деталям, атака была ориентирована на инфраструктуру удаленных вызовов процедур (RPC), которая используется децентрализованной сетью верификаторов. Заместо того чтоб использовать сам протокол, преступники, как заявляется, заразили системы RPC, манипулировали данными, которые предоставляются верификатору, и употребляли распределенную атаку типа «отказ в обслуживании» (DDoS) против незатронутых конечных точек. Подобное сочетание дало возможность удостоверить жульнические операции, избегая нахождения системами наблюдения.
Layerzero Labs объяснила главную незащищенность конфигурацией rsETH в KelpDAO, которая опиралась на структуру DVN «один к одному». Данная модель не оставляла ни 1-го независимого верификатора, который способен отклонить поддельное сообщение после взлома поддерживающей инфраструктурных объектов. В обращении зявлялось, что такая настройка противоречила старым советам по обеспечению избыточности при помощи нескольких DVN. В нем также утверждалось, что верно диверсифицированная конфигурация потребовала бы согласия меж несколькими верификаторами, что сделало бы атаку малопродуктивной, даже если б один из путей был дискредитирован.
Споры об ответственности в криптоинфраструктуре усиливаются
Layerzero Labs также отметила, что действие осталось ограниченным в рамках больше широкой экосистемы. «Мы провели полноценный изучение активных интеграций в протоколе Layerzero», — сказала Layerzero Labs, выделив:
«Мы можем без колебаний сообщить, что никакого распространения на остальные активы либо приложения не случилось».
«Данный происшествие был всецело изолирован от конфигурации rsETH KelpDAO как прямое следствие их опции с одним DVN», — сообщили они. Данная формулировка удостоверяет мнение про то, что протокол работал так, как и подразумевалось, а модульная безопасность ограничила вред одной интеграцией, но не привела к больше широкому системному уязвимому состоянию.
Реакция общества была резко разбита, при этом некоторые прямо оспаривали эту трактовку. Зак Райнс (Zach Rynes), представитель общества Chainlink, высказал свое мнение в X: «Как и ожидалось, Layerzero уклоняется от ответственности за то, что их собственная комплекс инфраструктурных объектов узлов DVN была дискредитирована и привела к эксплойту моста на сумму 290 млн долларов». Он заявлял, что трудность проистекала как из контроля над инфраструктурой, так и из сосредоточения валидаторов, создавая единую точку отказа. Райнес указывал на данный риск централизации еще пару лет назад и высказывал предупреждение, что подобные конфигурации подвергают пользователей излишнему системному риску. «Утверждение, что не было заражения, — это просто вишенка на тортике», — резюмировал он. Данный спор отражает больше обширное противоречиие по причине ответственности в положении, если одна организация держит под контролем и инфраструктуру, и валидацию.