KelpDAO kritiseerib Layerzero't pärast 300 miljoni dollari suurust turvaauku ning viib rsETH üle Chainlinki CCIP-i

Vaidlus võrgukonfiguratsiooni üle

KelpDAO on avaldanud terava vastuse Layerzero Labsile pärast 18. aprilli rünnakut, mille käigus varastati üle 300 miljoni dollari väärtuses DeFi-varasid, peamiselt rsETH-na. Avalikus avalduses, mis on vastuolus Layerzero ametliku järelanalüüsiga, väidab KelpDAO, et sillapakkujad „süüdistavad kasutajaid” omaenda tuuminfrastruktuuri süsteemses rikkes.

Rünnak, mida seostatakse suure tõenäosusega Lazarus Groupiga, põhjustas varade pettusliku vermimise ja väljastamise. Kuigi KelpDAO suutis lepingute peatamisega blokeerida veel 100 miljonit dollarit võltsitud tehinguid, on selle tagajärjed põhjustanud tohutu muutuse DeFi-maastikul. KelpDAO teatas seejärel viivitamatust üleminekust Chainlink CCIP-le.

Peamine vaidlus puudutab rikkumise põhjust. Layerzero analüüsis juhtumit kui „KelpDAO konfiguratsiooniprobleemi”, viidates konkreetselt Kelpi poolt kasutatud 1-of-1 detsentraliseeritud verifitseerimisvõrgu (DVN) seadistusele, kus Layerzero Labs oli ainus validaator. KelpDAO on aga vastanud, viidates Dune’i analüüsile, mis näitab, et 47% Layerzero OAppi lepingutest – üle 1200 rakenduse – kasutab sama 1-1 DVN „turvataset”.

Kelp juhib tähelepanu sellele, et Layerzero enda OFT kiirjuhend ja vaikimisi mallid soovitavad 1-1 seadistust, kus Layerzero Labs on ainus nõutav DVN. Projekt jagas ka ekraanipilte Telegram-vestlustest, mis väidetavalt näitavad, kuidas Layerzero meeskonnaliikmed kinnitasid Kelpile kahe aasta jooksul kaheksa eraldi integratsiooniarutelu käigus, et „vaikimisi seaded on korras”.

X-is avaldatud postituses, milles ta asjad selgeks tegi, analüüsis Kelp, mida Layerzero tunnistab ja mida ta oma järelanalüüsis mugavalt ignoreerib. Postituse kohaselt tunnistas Layerzero, et ründajad said juurdepääsu nimekirjale RPC-dest, mida tema DVN kasutab, ning kinnitas, et kaks sõltumatut sõlme olid ohustatud ja binaarid vahetati välja. Lisaks viitab Kelp Layerzero poolt 300 miljoni dollari suuruse kahju järel kehtestatud 1-1 konfiguratsioonide keelule kui veel ühele tunnistuse vormile.
Kuid Kelpi sõnul eiras järelanalüüs asjaolu, et Layerzero enda dokumentatsioon suunas arendajaid haavatava 1-1 seadistuse poole. Samuti ei selgitata, miks Layerzero seiresüsteemid ei suutnud häkkimist avastada, jättes probleemi avastamise Kelpi ülesandeks.

„Lihtne tõde: LayerZero süüdistas oma kasutajaid probleemi eest, mille põhjustas nende enda infrastruktuuri rike,“ väitis KelpDAO postituses.

Oma järelduse toetuseks tsiteeris Kelp sõltumatuid ülevaateid, milles toodi esile mitu kriitilist haavatavust, mis väidetavalt olid olemas rünnaku ajal. Nende hulka kuuluvad järeldused, et vaikimisi kasutusele võetud lahendus avas avalikud väravad, millelt puudusid tavapärased turvameetmed, nagu WAF või IP-lubade nimekirjad. Chainalysis’e ülevaade tuvastas, et Layerzero seadis vaikimisi madala 1-1 RPC kvoorumi, mis tähendab, et kui üks sõlm oli nakatatud, allkirjastas DVN võltsitud sõnumi teisi ristkontrollimata.

Et demonstreerida oma usalduse kaotust Layerzero vastu, teatas Kelp, et viib rsETH üle Layerzero OFT standardilt Chainlinki Cross-Chain Token (CCT) standardile.

„Meie esmatähtis prioriteet on endiselt meie kasutajate varade turvalisus,“ märkis KelpDAO, viidates Chainlinki seitsmeaastasele kogemusele ja selle turvalisele detsentraliseeritud oracle-võrgustikule.