يلقي LayerZero باللوم على إعداد Kelp لاستغلال 290 مليون دولار، وينسبه إلى Lazarus في كوريا الشمالية

وقد وضعت LayerZero المسؤولية عن استغلال Kelp DAO الذي تبلغ قيمته 290 مليون دولار على تكوين الأمان الخاص بـ Kelp، قائلة إن بروتوكول إعادة تخزين السوائل يقوم بتشغيل إعداد تحقق واحد حذر منه LayerZero سابقًا.

استخدم الهجوم ناقلًا جديدًا يستهدف طبقة البنية التحتية بدلاً من أي رمز بروتوكول.

قام المهاجمون، الذين نسبتهم LayerZero بثقة أولية إلى مجموعة Lazarus Group الكورية الشمالية ووحدتها الفرعية TraderTraitor، باختراق اثنتين من عقد استدعاء الإجراء عن بعد (RPC) التي اعتمد عليها مدقق LayerZero لتأكيد المعاملات عبر السلسلة.

عقد RPC هي الخوادم التي تسمح للبرامج بقراءة البيانات وكتابتها على blockchain، واستخدم برنامج التحقق الخاص بـ LayerZero مزيجًا من الخوادم الداخلية والخارجية للتكرار.

قام المهاجمون باستبدال البرنامج الثنائي الذي يعمل على اثنتين من تلك العقد بإصدارات ضارة مصممة لإخبار مدقق LayerZero بحدوث معاملة احتيالية، مع الاستمرار في الإبلاغ عن بيانات دقيقة إلى كل نظام آخر يستعلم عن تلك العقد نفسها.

تم تصميم هذا الكذب الانتقائي لإبقاء الهجوم غير مرئي للبنية التحتية للمراقبة الخاصة بـ LayerZero، والتي تستعلم عن نفس RPCs من عناوين IP مختلفة.

لم يكن التنازل عن عقدتين كافياً. استعلمت أداة التحقق الخاصة بـ LayerZero أيضًا عن عقد RPC خارجية غير منقوصة، لذلك قام المهاجمون بتشغيل هجوم رفض الخدمة الموزع على تلك العقد لإجبار الفشل على العقد المسمومة.

تُظهر سجلات حركة المرور التي شاركتها LayerZero أن DDoS يعمل بين الساعة 10:20 صباحًا و11:40 صباحًا بتوقيت المحيط الهادئ يوم السبت. بمجرد تشغيل تجاوز الفشل، أخبرت العقد المخترقة المدقق بوصول رسالة عبر سلسلة صالحة، وأطلق جسر Kelp 116,500 rsETH للمهاجمين. يتم بعد ذلك تدمير برنامج العقدة الضارة ذاتيًا، ومسح الثنائيات والسجلات المحلية.

نجح الهجوم فقط لأن Kelp قام بتشغيل تكوين أداة التحقق 1 من 1، مما يعني أن LayerZero Labs كان الكيان الوحيد الذي يتحقق من الرسائل من وإلى جسر rsETH.

أوصت قائمة التحقق من التكامل العام الخاصة بـ LayerZero والاتصالات المباشرة مع Kelp بإعداد أداة تحقق متعددة مع التكرار، حيث سيكون الإجماع عبر العديد من أدوات التحقق المستقلة مطلوبًا لتأكيد الرسالة. وبموجب هذا التكوين، لن يكون تسميم خلاصة بيانات أحد المدققين كافيًا لتزوير رسالة صالحة.

"اختار KelpDAO استخدام تكوين 1/1 DVN،" كتب LayerZero، مستخدمًا مصطلح البروتوكول لشبكات التحقق اللامركزية. "كان التكوين المعزز بشكل صحيح يتطلب توافقًا في الآراء عبر العديد من شبكات DVN المستقلة، مما يجعل هذا الهجوم غير فعال حتى في حالة تعرض أي DVN واحد للخطر."

قالت LayerZero إنها أكدت عدم وجود أي عدوى لأي تطبيق آخر على البروتوكول. لم يتأثر كل رمز مميز وتطبيق OFT قياسي يقوم بتشغيل إعدادات التحقق المتعدد.

عادت أداة التحقق من LayerZero Labs إلى الإنترنت مرة أخرى، وقالت الشركة إنها لن تقوم بعد الآن بتوقيع الرسائل لأي تطبيق يقوم بتشغيل تكوين 1 من 1، مما يفرض الترحيل على مستوى البروتوكول من إعدادات أداة التحقق الفردية.

إن التمييز المعماري مهم لكيفية قيام DeFi بتسعير مخاطر LayerZero في المستقبل.

كان من الممكن أن يشير الخطأ على مستوى البروتوكول إلى أن كل رمز OFT في كل سلسلة كان من المحتمل أن يكون في خطر. ومع ذلك، فإن فشل التكوين من قبل مُكامل واحد، جنبًا إلى جنب مع هجوم مستهدف على البنية التحتية، يعني أن البروتوكول يعمل وفقًا للتصميم وأن خيارات أمان Kelp، وليس رمز LayerZero، هي التي أنشأت الفتحة.

لم يستجب Kelp علنًا بعد لتأطير LayerZero ولم يتناول سبب قيامه بتشغيل إعداد التحقق 1 من 1 على الرغم من التوصيات الصريحة ضده.

تم ربط Lazarus Group باستغلال بروتوكول Drift في 1 أبريل والآن Kelp في 18 أبريل، مما يعني أن نفس الوحدة الكورية الشمالية استنزفت أكثر من 575 مليون دولار من التمويل اللامركزي في 18 يومًا من خلال ناقلي هجوم مختلفين هيكليًا: موقعو حوكمة الهندسة الاجتماعية في Drift وتسميم RPCs للبنية التحتية في Kelp.

تقوم المجموعة بتكييف قواعد اللعبة الخاصة بها بشكل أسرع مما تعمل بروتوكولات DeFi على تقوية دفاعاتها.