Les risques LayerZero s'intensifient à mesure que les développeurs poussent le débat sur la sécurité

Un débat houleux a éclaté au sein du groupe Telegram communautaire ETHSecurity entre Bryan Pellegrino de LayerZero (co-fondateur et PDG de LayerZero) et des chercheurs en sécurité. Le débat portait sur un contrat de bibliothèque par défaut que LayerZero Labs pourrait mettre à niveau sans délai, exposant plus de 3 milliards de dollars en jetons fongibles LayerZero Omnichain (LZ OFT) à un risque de compromission similaire au récent piratage de rsETH.

The Spark : une bibliothèque par défaut vulnérable exposée

Le chercheur en sécurité a souligné le fait que le contrat de bibliothèque par défaut de LayerZero permettait également à l'équipe d'effectuer des mises à niveau instantanées sans aucun mécanisme de retard comme un timelock. Avec cette configuration, les membres de l'équipe pourraient créer un message inter-chaînes qui pourrait imiter l'exploit rsETH où les attaquants drainaient des fonds en simulant des vérifications.

Des projets tels qu'Ethena et EtherFi utilisaient cette bibliothèque par défaut il y a quelques semaines seulement, selon le chercheur Banteg. Même aujourd’hui, les données en chaîne montrent que la valeur de 178 millions de dollars provenant de divers projets reste exposée à ce risque en cas d’abus du contrôle de LayerZero Labs.

Le développeur de Yearn, Banteg, a intensifié le tout après avoir averti que de nombreux protocoles dépendaient encore dangereusement de la configuration multisig 3 sur 5 par défaut de LayerZero. Il a fait valoir que les projets s'appuyant sur la bibliothèque de réception par défaut sans protections plus renforcées s'exposaient à des risques inutiles, car toute compromission du multisig de LayerZero pourrait permettre aux attaquants de vider instantanément les adaptateurs connectés.

Suite à l'exploit Kelp, Banteg a estimé que les adaptateurs vulnérables représentaient initialement environ 3,13 milliards de dollars d'exposition potentielle, bien que ce chiffre ait ensuite considérablement diminué après que certains projets ont renforcé leurs configurations.

Malgré ces progrès, il a souligné que de nombreux protocoles restaient encore vulnérables. En publiant des conseils techniques précis pour la sécurité de ces intégrations, Banteg a déplacé le débat de la théorie vers le risque exploitable, ravivant les inquiétudes concernant les dépendances centralisées de LayerZero.

LayerZero n'a pas besoin d'agir de manière malveillante pour qu'un danger survienne, toute compromission de ses systèmes pourrait conduire à une attaque de la chaîne d'approvisionnement sur tous les projets dépendants. Cela reflète des audits antérieurs signalant des risques similaires liés aux pièces de confiance dans les contrats Endpoint et UltraLightNode de LayerZero.

Les signataires Multisig pris dans des activités à haut risque

Les preuves en chaîne ont montré que les signataires multisig de production de LayerZero Labs, censés sécuriser des milliards, étaient utilisés pour des activités personnelles à risque. Il s'agissait notamment d'échanger le memecoin McPepes (PEPES) sur Uniswap, de swaps DEX et d'actifs de transition, exposant ainsi les clés des sites de phishing.

Zach Rynes, une figure de la communauté Chainlink, l'a dénoncé sur X (anciennement connu sous le nom de Twitter). Il a qualifié cela d’échec total de l’opération de sécurité de base et de l’isolement des clés, faisant craindre des attaques sur la chaîne d’approvisionnement.

Bryan de LayerZero a affirmé qu'ils testaient «l'intégration OFT de $PEPE», mais les critiques ont noté que $PEPE n'était même pas encore déployé et que McPepes est un jeton complètement différent. Cette mauvaise gestion des clés de production explique leur précédente vulnérabilité de piratage en Corée du Nord, où le groupe Lazarus les a ciblés via des RCP compromis.

Historique des problèmes de sécurité de LayerZero

LayerZero Labs a fait l’objet d’un examen minutieux répété pour détecter des manquements à l’opérationsec. Les pirates nord-coréens ont réussi à infiltrer leur infrastructure, usurpant les données RPC dans l'exploit KelpDAO rsETH qui a volé 290 à 292 millions de dollars, ce que LayerZero a imputé à la configuration DVN unique de Kelp.

Des rapports antérieurs tels que ZeroValidation ont détaillé les exploits multisig permettant des messages arbitraires sans aucune approbation appropriée, les projets en migration les citent comme des signes de risques centralisés se propageant aux fonds des utilisateurs.

Le piratage de rsETH a montré à quel point les configurations faibles amplifient les dangers, LayerZero interrompant les signatures des applications de vérification de célibataires après l'incident. Les critiques affirment que les défauts poussent les utilisateurs sur des voies risquées sans avertissement clair.

Bryan contre les chercheurs : affrontement dans Telegram

Dans le débat ETHSecurity Telegram, Bryan a défendu LayerZero, mais les chercheurs ont repoussé les risques de la bibliothèque et l'utilisation abusive du multisig. Ils ont souligné que les clés de production liées aux échanges de DEX et de memecoins criaient à un appât de phishing, en particulier après la violation de la Corée du Nord. Bryan a rejeté certaines affirmations, mais le groupe a souligné une exposition OFT de plus de 3 milliards de dollars.

Réaction des influenceurs et changements de projet

Ed, un autre influenceur cryptographique, a publié sur X et a fait valoir que les défenseurs du protocole avaient négligé un problème majeur : sa propre infrastructure centralisée avait été compromise.

KelpDAO, après l'exploit lié à LayerZero du 18 avril, a annoncé sa migration de rsETH vers Chainlink CCIP en raison de préoccupations concernant la sécurité de l'infrastructure et de questions sans réponse sur l'écosystème.

Le protocole Solv a maintenant suivi avec une transition encore plus importante. Le protocole éloigne plus de 700 millions de dollars des écosystèmes SolvBTC et xSolvBTC des ponts LayerZero après l'examen de sécurité.

Ensemble, ces migrations consécutives mettent en évidence un changement croissant dans le secteur, alors que les principaux protocoles donnent de plus en plus la priorité à des garanties de sécurité plus solides, à une surveillance proactive et à une infrastructure inter-chaînes de niveau institutionnel.

Ces migrations