Charles Hoskinson indica Cardano e Midnight come soluzione ai problemi di interoperabilità tra blockchain all'origine dell'attacco hacker a KelpDAO

• Il 18 aprile un hacker ha sfruttato il bridge cross-chain di KelpDAO, rubando 116.500 ETH reinvestiti per un valore di circa 292 milioni di dollari.
• La violazione ha innescato deflussi di TVL DeFi per oltre 13 miliardi di dollari in 48 ore, colpendo Aave, Compound, Morpho e almeno altri 9 protocolli.
• Charles Hoskinson afferma che le prove a conoscenza zero e il calcolo multipartitico di Midnight potrebbero impedire il ripetersi di questo tipo di attacchi.

Hoskinson spiega perché lo staking non custodito di Cardano elude il rischio di restaking

Charles Hoskinson, fondatore di Cardano e co-fondatore di Ethereum, ha analizzato l'attacco in un video pubblicato dal Wyoming, guidando gli spettatori attraverso un sito web personalizzato di segnalazione degli incidenti generato dall'intelligenza artificiale (AI).

"Il modello standard di minaccia DeFi presuppone che i bug degli smart contract siano il rischio dominante", ha detto Hoskinson. "Questo non è più vero." Ha aggiunto:

"I bridge possono essere molto problematici. Un verificatore one-of-one non va bene. Non fatelo. E poi il problema è che se rubano i soldi, il prestito DeFi è la condizione di uscita. Quindi, in sostanza, potete depositare, potete prestare, e quando ottenete quei token, ottenete token non collegati al furto, e la garanzia è di fatto compromessa."

L'autore dell'attacco ha inviato un messaggio Layerzero contraffatto che ha raggiunto il contratto endpoint v2 collegato all'adattatore di restake di Kelp, il quale ha quindi rilasciato i token da un deposito a garanzia su Ethereum. Il pacchetto contraffatto indicava come fonte l'ID endpoint Uni-Chain 30320. La configurazione cross-chain di Kelp si basava su un'unica rete di verificatori decentralizzata, una configurazione one-of-one che ha fornito all'autore dell'attacco un unico punto da compromettere.

I token rubati non sono stati venduti direttamente su piattaforme di scambio decentralizzate (DEX), il che avrebbe fatto crollare il prezzo. L'autore dell'attacco ha depositato l'ETH restakato come garanzia in mercati di prestito come Aave prima che Kelp o i suoi partner potessero congelare le posizioni, prendendo in prestito ether avvolto liquido a fronte di esso e portandosi via asset non collegati al furto originale. La garanzia compromessa è rimasta all'interno dei mercati di prestito.

Il rapporto congiunto sull'incidente di Llamarisk, pubblicato il 20 aprile, ha confermato 83.471 ETH distribuiti su sette portafogli dell'autore dell'attacco su Ethereum core e Arbitrum. Il rapporto ha delineato due scenari di risoluzione. Il primo socializza un haircut del 15,12% su tutti i detentori di ETH reinvestiti, producendo circa 123 milioni di dollari di crediti inesigibili assorbiti dalla riserva di Ethereum core. Il secondo isola le perdite a livello di layer due (L2), rivalutando i token al 26,46% di copertura e generando circa 230 milioni di dollari di crediti inesigibili concentrati su Mantle, Arbitrum e Base, lasciando intatto Ethereum core.

Aave da sola ha registrato deflussi compresi tra 6,6 e 8,45 miliardi di dollari. I pool di ETH wrapped su Arbitrum, Base, Mantle, Linia e Plasma hanno raggiunto un utilizzo vicino al 100%, bloccando di fatto i prelievi. Almeno nove protocolli DeFi sono stati classificati come direttamente colpiti, tra cui Compound, Morpho, Lido, Ethena, Pendle, Euler, Beefy e Lombard Finance.

Tre analisi post-mortem separate sono state pubblicate da KelpDAO, Layerzero e Llamarisk. Nessuna concorda su chi sia il responsabile. Layerzero ha annunciato il 20 aprile che non avrebbe più firmato o attestato messaggi per alcuna applicazione che eseguisse una configurazione DVN one-of-one, spingendo una migrazione a livello di protocollo verso configurazioni multi-verificatore. Kelp sostiene che la configurazione predefinita di Layerzero prevedeva una verifica a fonte singola su Ethereum, BNB Chain, Polygon, Arbitrum e Optimism, e che presumibilmente dal 40% al 50% di tutte le applicazioni OFT di Layerzero utilizzano attualmente la stessa configurazione "one-of-one".

Le indagini forensi on-chain suggeriscono collegamenti con il Lazarus Group, un collettivo di hacker sponsorizzato dallo Stato e legato alla Corea del Nord. Nessuna società forense indipendente ha emesso un'attribuzione formale e l'FBI non ha commentato pubblicamente.

Hoskinson: "Se sei nel mondo Cardano, basta cliccare su 'Delegate'… Siamo liquidi e non custoditi"

Hoskinson ha indicato l'attacco come prova del fatto che i fallimenti nella verifica dei bridge hanno sostituito i bug degli smart contract come principale vettore di minaccia per la DeFi. Ha citato la finestra di 46 minuti tra il drenaggio iniziale e la pausa di emergenza di Kelp come segno che la risposta agli incidenti è importante, ma non può superare la velocità con cui le risorse rubate possono essere impiegate nei mercati del prestito.

"Ciò che rende questo caso nuovo è il contagio", ha spiegato Hoskinson nel suo video. "Non si è trattato solo di un hack al bridge. Si è diffuso al prestito, creando poi un contagio di crediti inesigibili all'interno di questi protocolli di prestito. Ha creato una corsa agli sportelli, e abbiamo visto 13 miliardi di dollari di TVL ritirati in un periodo di tempo molto breve a causa di un hack da 290 milioni di dollari. Questa è una crisi di fiducia."

Ha attribuito la minore esposizione di Cardano al suo design di staking liquido e non custodito, che elimina la necessità della catena di wrapper staking-to-liquid-staking-to-restaking che ha creato la superficie di attacco su Kelp. Hoskinson ha sostenuto che Midnight, la sidechain di Cardano incentrata sulla privacy, affronta le vulnerabilità fondamentali coinvolte.

Il suo protocollo Nightstream integra gli stati dell'intera catena in prove che viaggiano insieme ai messaggi cross-chain, rendendo i messaggi falsificati verificabili prima dell'accettazione. "Quando le persone inviano messaggi, possono verificare che ciò che vedono sia corretto", ha affermato. Il supporto al calcolo multipartitico su Midnight consentirebbe a Layerzero di implementare configurazioni DVN "due su tre" o "cinque su sette" chiavi in mano con minori attriti operativi.

Le prove a conoscenza zero bloccherebbero i messaggi avvelenati a livello di verifica. L'anonimizzazione della rete renderebbe più difficile l'esecuzione della componente DDoS di questa classe di attacchi. Ha affermato che gli strumenti di IA, inclusi i modelli all'avanguardia a cui, secondo quanto riferito, il Gruppo Lazarus avrebbe accesso tramite insider corrotti presso i principali laboratori di IA, stanno consentendo agli aggressori di scansionare interi codici alla ricerca di vulnerabilità emergenti che nessun singolo revisore umano sarebbe in grado di rilevare.

"Gli attacchi hacker fanno parte della vita", ha affermato, "e la situazione peggiorerà notevolmente per tutti".