Kelp DAO يشير بإصبعه إلى LayerZero بعد استغلال Bridge بقيمة 292 مليون دولار، يتحول إلى Chainlink

جدول المحتويات: حدث خرق أمني مدمر لمنصة DeFi Kelp DAO في 18 أبريل، مما أدى إلى خسارة ما يقرب من 292 مليون دولار عندما استولت الجهات الفاعلة الخبيثة على 116,500 رمز rsETH من خلال البنية التحتية للجسر المدمج في LayerZero. بعد استغلال LayerZero الأخير، نتخذ خطوات للتأكد من أن rsETH آمن تمامًا، ولهذا السبب قمنا بالانتقال إلى @chainlink CCIP. من حادثة 18 أبريل، من الواضح أنه تم استغلال البنية التحتية الخاصة بـ LayerZero، مما أدى إلى خسائر بقيمة 300 مليون دولار عبر DeFi. قبل أن يتمكن Kelp من تجميد عقوده الذكية، نجح المهاجمون في تنفيذ معاملتين احتياليتين إضافيتين بقيمة إجمالية تتجاوز 100 مليون دولار. وأرجعت LayerZero الهجوم إلى مجموعة Lazarus سيئة السمعة التي تعمل من كوريا الشمالية. وفقًا للتقارير، تمكنت الجهات الفاعلة في مجال التهديد من الوصول إلى قائمة عقدة RPC التي تستخدمها DVN الخاصة بـ LayerZero Labs، ونجحت في التسلل إلى عقدتين، واستبدلت برامج التشغيل الخاصة بها بكود ضار. بدأ المهاجمون بعد ذلك هجومًا موزعًا لرفض الخدمة (DDoS) على العقد غير المخترقة، مما أدى إلى إعادة توجيه حركة مرور الشبكة نحو البنية التحتية المصابة. بعد ذلك، قامت شبكة DVN المختطفة بالتحقق من صحة المعاملات الملفقة التي لم تتم بشكل قانوني على blockchain. أثار هذا الحادث الأمني ​​خلافًا عامًا حادًا بين Kelp DAO وLayerZero فيما يتعلق بالمسؤولية عن الضعف القابل للاستغلال. في تحليل حادثة LayerZero بتاريخ 19 أبريل، ذكرت الشركة أن الثغرة الأمنية تنبع من جسر Kelp الذي يستخدم شبكة تحقق لامركزية فردية (DVN) بدلاً من استخدام مصادر تحقق مستقلة متعددة. ووصفت LayerZero هذا النهج بأنه يتعارض بشكل مباشر مع توصياتها الأمنية. وقد رد Kelp DAO على هذه التأكيدات يوم الثلاثاء بمذكرة مفصلة. ادعى البروتوكول أن موظفي LayerZero قاموا بفحص تكوين البنية التحتية الخاصة به على مدار عامين ونصف عبر ثماني مشاورات تكامل منفصلة، ​​ومع ذلك لم يحددوا أبدًا بنية التحقق الفردي على أنها تمثل مخاوف أمنية. قدم Kelp دليلاً على لقطة شاشة لاتصالات Telegram يُزعم أنها توضح إقرار ممثل LayerZero بالتكوين دون إثارة اعتراضات. لم يتمكن CoinDesk من التحقق من لقطات الشاشة هذه بشكل مستقل. بالإضافة إلى ذلك، أشارت شركة Kelp إلى معلومات شركة Dune Analytics التي تشير إلى أن 47% من حوالي 2665 عقدًا تشغيليًا من عقود LayerZero استخدمت تكوينًا مطابقًا لـ 1 من 1 DVN خلال فترة 90 يومًا تنتهي في 22 أبريل تقريبًا. وتمثل هذه العقود مجتمعة أكثر من 4.5 مليار دولار أمريكي من إجمالي القيمة السوقية. كشف المحلل الأمني ​​Sujith Somraaj، الذي أجرى سابقًا عمليات تدقيق لـ LayerZero، أنه قدم طلبًا لمكافأة الخلل يوضح بالتفصيل منهجية الهجوم المتطابقة قبل الحادث. وذكر أن LayerZero رفض النتائج التي توصل إليها. رد برايان بيليجرينو، الرئيس التنفيذي لشركة LayerZero، عبر X، واصفًا العديد من ادعاءات Kelp بأنها "خاطئة تمامًا". أكد بيليجرينو أن Kelp قام في البداية بنشر التكوين الافتراضي لـ DVN المتعدد الموصى به ولكنه قام بعد ذلك بتعديله يدويًا لإنشاء إعداد 1 من 1. ووعد بأن يتم نشر تحليل شامل للحوادث من قبل المنظمات الأمنية المستقلة قريبًا. صرح ممثل LayerZero في رسالة رسمية أن الإعدادات الافتراضية للبروتوكول في جميع مسارات التكامل تقريبًا تنفذ بنية DVN المتعددة. وأوضح الممثل أن الحالات التي تظهر فيها تكوينات 1 من 1 في رمز القالب تشير إلى وظيفة "DeadDVN" المصممة لحظر الرسائل وإجبار المطورين على إنشاء التكوينات المناسبة قبل النشر. وأعلنت LayerZero أيضًا أنها ستتوقف عن توقيع الرسائل لأي تطبيق يعمل بتكوين 1 من 1، وهي سياسة يتم تنفيذها فورًا بعد الاختراق. تصر شركة Kelp على أن فريق الأمن الداخلي التابع لها اكتشف الثغرة الأمنية وأبلغ عنها إلى LayerZero، وهو ما يتعارض مع الاقتراحات التي تقول بأن LayerZero حددت المشكلة أولاً. يقوم Kelp حاليًا بنقل rsETH بعيدًا عن معيار OFT الخاص بـ LayerZero نحو معيار Cross-Chain Token الخاص بـ Chainlink باستخدام بروتوكول إمكانية التشغيل البيني عبر السلاسل الخاص به. تشير الوثائق إلى أنه على الأقل في شبكتين متكاملتين من شبكات البلوكشين - Dinari وSkale - تستمر LayerZero Labs DVN في العمل باعتبارها الشاهد المعين الوحيد.