Риски LayerZero возрастают по мере того, как разработчики продвигают дебаты по безопасности

В Telegram-группе сообщества ETHSecurity разгорелись жаркие дебаты между Брайаном Пеллегрино из LayerZero (соучредителем и генеральным директором LayerZero) и исследователями безопасности. Дебаты велись о библиотечном контракте по умолчанию, который LayerZero Labs могла обновить без временной блокировки, что поставило более 3 миллиардов долларов в взаимозаменяемых токенах LayerZero Omnichain (LZ OFT) под угрозу компрометации, аналогичную недавнему взлому rsETH.

The Spark: раскрыта уязвимая стандартная библиотека

Исследователь безопасности подчеркнул тот факт, что контракт библиотеки LayerZero по умолчанию позволял команде делать мгновенные обновления без какого-либо механизма задержки, такого как временная блокировка. Благодаря такой настройке члены команды могли создать межсетевое сообщение, которое могло бы имитировать эксплойт rsETH, когда злоумышленники истощали средства, подделывая проверки.

По словам исследователя Бантега, такие проекты, как Ethena и EtherFi, использовали эту библиотеку по умолчанию всего несколько недель назад. Даже сейчас данные onchain показывают, что стоимость различных проектов в размере 178 миллионов долларов остается подверженной этому риску, если контроль LayerZero Labs будет злоупотреблен.

Разработчик Yearn Бантег усилил ситуацию после того, как предупредил, что многие протоколы по-прежнему опасно зависят от стандартной настройки мультиподписи LayerZero 3 из 5. Он утверждал, что проекты, использующие библиотеку приема по умолчанию без более сильной защиты, подвергают себя ненужному риску, поскольку любая компрометация мультиподписи LayerZero может позволить злоумышленникам мгновенно опустошить подключенные адаптеры.

По оценкам Бантега, после эксплойта Kelp потенциальный ущерб от уязвимых адаптеров первоначально составил около 3,13 миллиарда долларов, однако позже эта цифра значительно снизилась после того, как некоторые проекты ужесточили их конфигурации.

Несмотря на этот прогресс, он подчеркнул, что многие протоколы по-прежнему остаются уязвимыми. Опубликовав точное техническое руководство по безопасности этих интеграций, Бантег перевел дискуссию с теории на практический риск, вновь разжигая обеспокоенность по поводу централизованных зависимостей LayerZero.

LayerZero не нужно действовать злонамеренно, чтобы возникла опасность: любой взлом их систем может привести к атаке на цепочку поставок на все зависимые проекты. Это отражает прошлые аудиты, в которых отмечались аналогичные риски, связанные с доверенными частями, в контрактах LayerZero Endpoint и UltraLightNode.

Пользователи, подписавшие Multisig, уличены в рискованных действиях

Данные Onchain показали, что производственные подписанты с мультиподписью LayerZero Labs, предназначенные для защиты миллиардов, использовались для рискованных личных действий. К ним относятся торговля мемкоином McPepes (PEPES) на Uniswap, обмен DEX и мостовые активы, раскрывающие ключи для фишинговых сайтов.

Зак Райнс, деятель сообщества Chainlink, высказался по этому поводу в X (ранее известном как Twitter). Он назвал это полным провалом базовой операционной безопасности и изоляции ключей, что вызвало опасения по поводу атак на цепочку поставок.

Брайан из LayerZero заявил, что они тестируют «интеграцию OFT $PEPE», но критики отметили, что $PEPE еще даже не развернут, а McPepes — это вообще другой токен. Такое плохое обращение с производственными ключами объясняет их предыдущую уязвимость к взлому в Северной Корее, когда Lazarus Group атаковала их с помощью скомпрометированных RCP.

История проблем безопасности LayerZero

LayerZero Labs неоднократно подвергалась проверке на предмет упущений в операционной безопасности. Хакерам Северной Кореи удалось проникнуть в их инфраструктуру, подделав данные RPC с помощью эксплойта KelpDAO rsETH, который украл 290–292 миллиона долларов, в чем LayerZero обвинил единственную установку Kelp DVN.

В предыдущих отчетах, таких как ZeroValidation, подробно описывались эксплойты с мультиподписями, позволяющие отправлять произвольные сообщения без какого-либо надлежащего подтверждения, а мигрирующие проекты называют это признаками централизованного риска, распространяющегося на средства пользователей.

Взлом rsETH показал, насколько слабые конфигурации усиливают опасность: LayerZero после инцидента останавливал подписи для приложений с одиночной проверкой. Критики утверждают, что настройки по умолчанию подталкивают пользователей на рискованный путь без четких предупреждений.

Брайан против исследователей: Столкновение в Telegram

В дебатах ETHSecurity Telegram Брайан защищал LayerZero, но исследователи отвергли библиотечные риски и неправильное использование мультиподписей. Они подчеркнули, что производственные ключи, связанные с DEX и торговлей мемкоинами, являются фишинговой приманкой, особенно после взлома Северной Кореи. Брайан отверг некоторые утверждения, но группа подчеркнула, что риск OFT составляет более 3 миллиардов долларов.

Реакция влиятельных лиц и изменения в проекте

Другой крипто-влиятельный человек, Эд, опубликовал сообщение на X и заявил, что защитники протокола упустили из виду серьезную проблему: его собственная централизованная инфраструктура была скомпрометирована.

KelpDAO после эксплойта, связанного с LayerZero 18 апреля, объявила о переходе rsETH на Chainlink CCIP из-за опасений по поводу безопасности инфраструктуры и оставшихся без ответа вопросов экосистемы.

За протоколом Solv последовал еще более масштабный переход. После проверки безопасности протокол переносит экосистему SolvBTC и xSolvBTC на сумму более 700 миллионов долларов из мостов LayerZero.

В совокупности эти последовательные миграции подчеркивают растущий сдвиг в отрасли, поскольку основные протоколы все чаще отдают приоритет более строгим гарантиям безопасности, упреждающему мониторингу и межсетевой инфраструктуре институционального уровня.

Эти миграции