KelpDAO kritisiert Layerzero nach einem 300-Millionen-Dollar-Hack und verlagert rsETH auf Chainlink CCIP

Der Streit um die Netzwerkkonfiguration

KelpDAO hat nach einem Exploit am 18. April, bei dem DeFi-Vermögenswerte im Wert von über 300 Millionen US-Dollar – hauptsächlich in Form von rsETH – abgezogen wurden, eine scharfe Reaktion an Layerzero Labs gerichtet. In einer öffentlichen Erklärung, die im Widerspruch zu Layerzeros offizieller Nachbetrachtung steht, wirft KelpDAO dem Bridge-Anbieter vor, „den Nutzern die Schuld“ für einen systemischen Ausfall seiner eigenen Kerninfrastruktur zu geben.

Der Exploit, der mit hoher Wahrscheinlichkeit mit der Lazarus-Gruppe in Verbindung gebracht wird, führte zur betrügerischen Prägung und Freigabe von Vermögenswerten. Während es KelpDAO gelang, durch das Aussetzen von Verträgen weitere 100 Millionen US-Dollar an gefälschten Transaktionen zu blockieren, hat der Vorfall eine massive Verschiebung in der DeFi-Landschaft ausgelöst. KelpDAO kündigte daraufhin eine sofortige Migration zu Chainlink CCIP an.

Der zentrale Streitpunkt liegt in der Ursache des Sicherheitsverstoßes. Layerzeros Nachbetrachtung stellte den Vorfall als „KelpDAO-Konfigurationsproblem“ dar und zielte dabei speziell auf Kelps Verwendung einer 1-von-1-Konfiguration des dezentralen Verifizierungsnetzwerks (DVN) ab, bei der Layerzero Labs der einzige Validator war. KelpDAO hat jedoch zurückgeschlagen und sich dabei auf eine Dune-Analyse berufen, die zeigt, dass 47 % der Layerzero-OApp-Verträge – mehr als 1.200 Anwendungen – denselben 1-zu-1-DVN-„Sicherheitsstandard“ nutzen.

Kelp weist darauf hin, dass Layerzeros eigener OFT-Schnellstartleitfaden und die Standardvorlagen die 1-zu-1-Konfiguration mit Layerzero Labs als einzigem erforderlichem DVN empfehlen. Das Projekt veröffentlichte zudem Screenshots von Telegram-Unterhaltungen, die angeblich zeigen, wie Mitglieder des Layerzero-Teams Kelp während acht separater Integrationsgespräche über einen Zeitraum von zwei Jahren versicherten, dass „die Standardeinstellungen in Ordnung“ seien.

In einem Beitrag auf X, in dem er die Dinge richtigstellte, schlüsselte Kelp auf, was Layerzero zugibt und was es in seiner Nachbetrachtung geflissentlich ignoriert. Dem Beitrag zufolge gab Layerzero zu, dass Angreifer Zugriff auf die Liste der RPCs erhielten, die sein DVN nutzt, und bestätigte, dass zwei unabhängige Knoten kompromittiert und Binärdateien ausgetauscht wurden. Darüber hinaus führt Kelp das Verbot von 1-1-Konfigurationen durch Layerzero nach dem Verlust von 300 Millionen Dollar als ein weiteres Eingeständnis an. Laut Kelp ignorierte die Nachbetrachtung jedoch, dass Layerzeros eigene Dokumentation Entwickler zu der anfälligen 1-1-Konfiguration drängte. Sie erklärt auch nicht, warum Layerzeros Überwachungssysteme den Hack nicht erkannt haben, sodass Kelp das Problem melden musste.

„Die einfache Wahrheit: LayerZero gab seinen Nutzern die Schuld für ein Problem, das durch einen eigenen Infrastrukturfehler verursacht wurde“, erklärte KelpDAO in dem Beitrag.

Zur Untermauerung seiner Schlussfolgerung zitierte Kelp unabhängige Überprüfungen, die mehrere kritische Schwachstellen aufdeckten, die zum Zeitpunkt des Angriffs angeblich vorhanden waren. Dazu gehören Erkenntnisse, dass die Standardbereitstellung öffentliche Gateways offenlegte, denen gängige Sicherheitsmaßnahmen wie WAF oder IP-Zulassungslisten fehlten. Eine Überprüfung durch Chainalysis ergab, dass Layerzero einen niedrigen 1-1-RPC-Quorum-Standardwert festgelegt hatte, was bedeutet, dass, wenn ein Knoten manipuliert wurde, das DVN die gefälschte Nachricht unterzeichnete, ohne andere zu überprüfen.

Um seinen Vertrauensverlust in Layerzero zu demonstrieren, erklärte Kelp, dass es rsETH vom Layerzero-OFT-Standard auf den Cross-Chain-Token-Standard (CCT) von Chainlink umstellt. „Unsere oberste Priorität bleibt die Sicherheit der Vermögenswerte unserer Nutzer“, stellte KelpDAO fest und verwies dabei auf die siebenjährige Erfolgsbilanz von Chainlink und dessen sicheres, dezentrales Oracle-Netzwerk.