LayerZero 承认 1/1 DVN 设置中的错误与价值 2.92 亿美元的 Kelp 黑客攻击有关

LayerZero 周四就其对 4 月 18 日漏洞的处理公开道歉，该漏洞从 Kelp DAO 的 rsETH 桥中损失了约 2.92 亿美元，并承认它不应该允许自己的验证器作为确保高价值交易的唯一验证器。

在一篇博文中，该互操作性协议首先声明“第一件事：逾期的道歉”，表示其内部 RPC 节点（由 LayerZero Labs 去中心化验证网络（DVN）使用）受到朝鲜 Lazarus Group 的破坏，该组织“毒害”了其真相来源，而其外部 RPC 提供商同时受到 DDoS 攻击。 LayerZero 表示底层协议本身没有受到影响。

该公司写道：“我们认为开发人员应该选择自己的安全配置，但我们犯了一个错误，允许我们的 DVN 充当高价值交易的 1/1 DVN。” “我们没有对 DVN 所保护的内容进行监管，这造成了我们根本没有看到的风险。我们拥有它。”

该帖子称，该事件影响了单个应用程序——约占 LayerZero 上构建的应用程序的 0.14%——以及整个网络资产价值的约 0.36%。 LayerZero 表示，自 4 月 19 日（漏洞利用后的第二天）以来，已有超过 90 亿美元通过该协议转移。

先前的指责

此次道歉与 LayerZero 早期的事后分析有所不同，后者称该协议“完全按照预期运行”，并指出 Kelp 的手动配置是根本原因。 Kelp DAO 公开质疑该说法，声称 LayerZero 已经批准了 1-of-1 DVN 设置，并宣布将其桥接基础设施迁移到 Chainlink 的 CCIP。几天后，Solv Protocol 计划将价值超过 7 亿美元的代币化比特币技术从 LayerZero 转移出去。

LayerZero 概述了自 4 月 19 日以来的一系列变化。LayerZero Labs DVN 不再提供 1/1 DVN 配置服务。所有路径上的默认设置都将尽可能迁移到 5/5，在只有 3 个 DVN 可用的链上至少迁移到 3/3 — 这是一个显着的转变，因为最近的 Dune 分析发现 47% 的活跃 LayerZero OApp 仍然运行 1-of-1 设置。该团队还在 Rust 中构建第二个 DVN 客户端，以实现客户端多样性，并重新配置 RPC 仲裁以混合内部、专用外部和共享外部节点。

未报告事件

该帖子还披露了三年半前的另一起此前未报道的事件，其中多重签名者使用该公司的多重签名硬件钱包而不是个人设备来执行个人交易。 LayerZero 表示，签名者已被删除，钱包也已轮换，并且该公司已在签名设备中添加了异常检测软件。

LayerZero 表示，它已经构建了一个名为 OneSig 的自定义多重签名，并计划在所有支持的链上将自己的多重签名阈值从 5 中的 3 提高到 10 中的 7。 OneSig 在签名者的机器上本地对交易进行哈希处理，以防止后端篡改，并且每个签名者都运行一个私有异常检查器。该公司表示，它还推出了 Console，这是一个供资产发行者配置和监控部署的平台，具有对未知 DVN、所有权变更和不安全配置的内置检测功能。

LayerZero 表示，一旦其外部安全合作伙伴完成工作，将发布正式的事后分析。此次黑客攻击还给 Aave 留下了估计 1.24 亿至 2.3 亿美元的坏账，而 DeFi 协议联盟已经概述了恢复 rsETH 支持的技术路径。