레이어제로, 2억 9,200만 달러 규모 켈프DAO 해킹과 관련된 RPC 중독 사고 공개

Layerzero Labs, 라자루스 그룹 보안 침해 대응에 대해 사과

레이어제로 랩스는 라자루스 그룹과 관련된 보안 침해 사고 이후 3주간 소통이 단절된 것에 대해 솔직한 사과를 발표했습니다. 공식 업데이트에 따르면, 공격자들은 레이어제로 랩스의 분산 검증자 네트워크(DVN)에서 사용하는 내부 원격 프로시저 호출(RPC)의 신뢰할 수 있는 데이터 소스를 오염시켰습니다.

이 정교한 공격은 회사의 외부 RPC 제공업체를 겨냥한 분산 서비스 거부(DDoS) 공격과 동시에 발생했습니다. 보고서에 따르면, 이번 사태의 여파는 생태계의 극히 일부로 제한되었습니다. 레이어제로는 이번 사고가 전체 애플리케이션의 0.14%, 프로토콜 내 총 잠금 가치(TVL)의 0.36%를 차지하는 단일 애플리케이션에만 영향을 미쳤다고 밝혔습니다.

4월 19일 이후 팀은 외부 보안 파트너들과 협력해 포괄적인 사후 분석 보고서를 마무리하고 있다고 설명했다. 또한 팀은 DVN이 고액 거래에 대해 단독 검증자 역할을 수행하도록 허용한 데 있어 중대한 과실이 있었다고 시인했다. Layerzero는 또한 DVN이 보호하는 대상을 제대로 감독하지 못해 "단일 장애 지점(single point of failure)" 위험을 초래했음을 인정했다.

이를 시정하기 위해 레이어제로는 현재 개발자들에게 안전한 구성 방법에 대해 교육하고 있으며, 더 이상 1/1 DVN 설정을 지원하지 않을 예정이다. 이번 공개 내용에는 멀티시그 서명자와 관련된 기이한 보안 사고도 포함되었다. 3년 반 전, 한 개인이 실수로 개인 거래에 멀티시그 하드웨어 지갑을 사용한 적이 있다.

해당 서명자는 이후 제거되었으며, 회사는 "Onesig"라는 맞춤형 멀티시그 솔루션을 도입했습니다. Onesig는 사용자 측에서 로컬로 거래를 해싱하고 머클화하여 무단 백엔드 거래를 방지하도록 설계되었습니다. Layerzero는 또한 Onesig가 지원되는 모든 체인에서 멀티시그 임계값을 3/5에서 7/10으로 높이고 있다고 밝혔습니다.

이 회사는 이번 조치가 향후 국가 주도의 위협에 대비해 프로토콜을 강화하기 위한 광범위한 노력의 일환이라고 설명했다. 이번 침해 사고에도 불구하고, 프로토콜 측은 4월 19일 이후 네트워크를 통해 90억 달러 이상의 거래량이 이동했다고 강조했다. Layerzero는 시스템적 위험을 피하기 위해 애플리케이션이 엔드투엔드(end-to-end) 보안을 자체적으로 책임져야 한다는 원칙을 바탕으로 구축되었다고 강조했다.

블로그 게시물에 따르면, 이 아키텍처는 현재까지 총 2,600억 달러 이상의 전송을 처리했습니다. 향후 Layerzero는 개발자들이 기본값에 의존하기보다 구성을 고정할 것을 권장합니다. 또한 팀은 재구성(reorganization)이 거의 불가능한 수준으로 블록 확인 횟수를 설정할 것을 제안합니다.

팀은 현재 클라이언트 다양성을 증진하기 위해 Rust로 작성된 두 번째 DVN 클라이언트를 개발 중이다. 추가 업그레이드 사항으로는 더욱 견고한 RPC 쿼럼 구성이 포함된다. Layerzero는 이를 통해 DVN이 내부 및 외부 제공자 전반에 걸쳐 세분화된 쿼럼을 선택할 수 있게 된다고 설명했다. 또한 팀은 자산 발행자가 보안을 관리하고 이상 징후를 모니터링할 수 있는 통합 플랫폼인 "Console"을 출시할 예정이다.

Layerzero 팀은 기본 프로토콜이 RPC 포이즌링의 영향을 받지 않았다는 입장을 확고히 하고 있습니다. 그들은 모듈식 설계 덕분에 최근 발생한 90억 달러 규모의 트래픽 중 나머지 부분은 안전하게 유지될 수 있었다고 주장합니다. 라자루스 그룹과 연계된 공격이 인정된 것은 오늘날 크로스체인 인프라가 직면한 현실적이고 지속적인 위협을 보여줍니다. Layerzero의 이러한 발표는 몇몇 DeFi 프로젝트들이 체인링크(Chainlink)의 CCIP를 활용하기로 결정한 데 이어 나온 것입니다.

이번 주 초, 북한 외무성(국영 매체 조선중앙통신을 통해)은 북한을 암호화폐 절도 및 사이버 공격과 연관 짓는 미국 및 국제 사회의 주장을 일축했다. 그들은 이러한 비난을 “터무니없는 중상모략”, “허위 정보”이며, 북한의 이미지를 훼손하기 위한 미국의 정치적 동기가 담긴 비방 캠페인이라고 규정했다.