"لايرزيرو" تكشف عن حادثة "تسميم RPC" مرتبطة باختراق "كيلب داو" الذي تسبب في خسائر بقيمة 292 مليون دولار

Layerzero Labs تعتذر عن استجابتها للاختراق الأمني الذي قامت به مجموعة Lazarus

أصدرت Layerzero Labs اعتذارًا صريحًا عن صمتها الإعلامي الذي استمر ثلاثة أسابيع عقب خرق أمني تورطت فيه مجموعة Lazarus. وفقًا لتحديث رسمي، قام المهاجمون بتلويث مصدر الحقيقة الخاص بـ "استدعاءات الإجراءات عن بُعد" (RPCs) الداخلية التي تستخدمها شبكة التحقق اللامركزية (DVN) التابعة لـ Layerzero Labs.

تزامن هذا الهجوم المتطور مع هجوم رفض الخدمة الموزع (DDoS) ضد مزود RPC الخارجي للشركة. ووفقًا للتقرير، اقتصرت تداعيات الهجوم على جزء صغير من النظام البيئي. أشارت Layerzero إلى أن الحادث أثر على تطبيق واحد، يمثل 0.14٪ من إجمالي التطبيقات و0.36٪ من إجمالي القيمة المقفلة على البروتوكول.

منذ 19 أبريل، أوضح الفريق أنه يعمل مع شركاء أمنيين خارجيين لوضع اللمسات الأخيرة على تقرير شامل لتحليل ما بعد الحادث. واعترف الفريق أيضًا بوجود إغفال كبير في السماح لشبكة DVN الخاصة بهم بالعمل كمدقق منفرد للمعاملات عالية القيمة. كما أقرت Layerzero بأنها فشلت في مراقبة ما تقوم شبكة DVN بتأمينه، مما أدى إلى خلق مخاطر "نقطة فشل واحدة".

لتصحيح هذا الأمر، يقوم المختبر الآن بتثقيف المطورين حول التكوينات الآمنة ولن يقدم خدماته بعد الآن لإعدادات DVN 1/1. كما تناول الكشف عن هذه المعلومات ثغرة أمنية غريبة تتعلق بموقع متعدد التوقيعات. قبل ثلاث سنوات ونصف، استخدم شخص ما عن طريق الخطأ محفظة أجهزة متعددة التوقيعات لإجراء تداول شخصي.

تمت إزالة الموقّع منذ ذلك الحين، وقامت الشركة بتنفيذ حل متعدد التوقيعات مصمم خصيصًا يُسمى "Onesig". تم تصميم Onesig لمنع المعاملات الخلفية غير المصرح بها عن طريق تجزئة المعاملات وmerklizing محليًا من جانب المستخدم. أشارت Layerzero إلى أنها تعمل أيضًا على زيادة عتبة التوقيعات المتعددة من 3/5 إلى 7/10 عبر جميع السلاسل التي يدعمها Onesig.

وأوضحت الشركة أن هذه الخطوة هي جزء من جهد أوسع لتقوية البروتوكول ضد التهديدات المستقبلية التي ترعاها الدول. وعلى الرغم من الاختراق، أكد البروتوكول أن أكثر من 9 مليارات دولار من الحجم قد تم تحويلها عبر الشبكة منذ 19 أبريل. وشددت Layerzero على أنها بنيت على أساس فرضية أن التطبيقات يجب أن تمتلك أمنها من البداية إلى النهاية لتجنب المخاطر النظامية.

وقد سهلت هذه البنية إجراء تحويلات إجمالية تزيد قيمتها عن 260 مليار دولار حتى الآن، وفقًا لما ورد في منشور المدونة. ومن الآن فصاعدًا، توصي Layerzero المطورين بتثبيت تكويناتهم بدلاً من الاعتماد على الإعدادات الافتراضية. كما يقترح الفريق ضبط تأكيدات الكتل على مستويات تجعل إعادة التنظيم شبه مستحيلة.

يعمل الفريق حاليًا على تطوير عميل DVN ثانٍ مكتوب بلغة Rust لتعزيز تنوع العملاء. تشمل التحديثات الإضافية تكوينًا أكثر قوة لنظام RPC quorum. أوضحت Layerzero أن هذا يسمح لشبكات DVN باختيار أغلبية دقيقة عبر مزودي الخدمات الداخليين والخارجيين. كما يطلق الفريق "Console"، وهي منصة موحدة لمصدري الأصول لإدارة الأمان ومراقبة الحالات الشاذة.

يظل فريق Layerzero مصراً على أن البروتوكول الأساسي لم يتأثر بتسميم RPC. ويؤكدون أن التصميم المعياري سمح لبقية حركة المرور الأخيرة البالغة 9 مليارات دولار بالبقاء آمنة. ويُظهر الاعتراف بهجوم مرتبط بمجموعة Lazarus واقعية التهديد المستمر الذي تواجهه البنية التحتية عبر السلاسل اليوم. وتأتي رسالة Layerzero في أعقاب اختيار بعض مشاريع DeFi للاستفادة من CCIP من Chainlink.

في وقت سابق من هذا الأسبوع، رفضت وزارة الخارجية الكورية الشمالية (عبر وكالة الأنباء المركزية الكورية KCNA) الادعاءات الأمريكية والدولية التي تربطها بسرقة العملات المشفرة والهجمات الإلكترونية. ووصفوا هذه الاتهامات بأنها "افتراءات سخيفة" و"معلومات كاذبة" وحملة تشويه ذات دوافع سياسية من قبل الولايات المتحدة لتشويه صورتهم.