Layerzero Mendedahkan Insiden Keracunan RPC yang Dikaitkan dengan Penggodaman KelpDAO Bernilai $292Juta

Layerzero Labs Memohon Maaf atas Respons terhadap Pelanggaran Keselamatan Kumpulan Lazarus

Layerzero Labs mengeluarkan permohonan maaf yang jujur atas senyap komunikasi selama tiga minggu susulan pelanggaran keselamatan yang melibatkan Kumpulan Lazarus. Menurut kemas kini rasmi, penyerang telah meracuni sumber kebenaran bagi Panggilan Prosedur Jauh (RPC) dalaman yang digunakan oleh Rangkaian Pengesah Terdesentralisasi (DVN) Layerzero Labs.

Serangan canggih ini berlaku serentak dengan serangan Penafian Perkhidmatan Teragih (DDoS) terhadap penyedia RPC luaran syarikat. Kesan susulannya, menurut laporan, terkawal kepada sebahagian kecil ekosistem. Layerzero menyatakan bahawa insiden itu menjejaskan satu aplikasi sahaja, mewakili 0.14% daripada jumlah aplikasi dan 0.36% daripada jumlah nilai terkunci pada protokol.

Sejak 19 April, pasukan itu memperincikan bahawa mereka telah bekerjasama dengan rakan keselamatan luaran untuk memuktamadkan laporan bedah siasat pasca insiden yang menyeluruh. Pasukan itu turut mengakui terdapat kelalaian besar apabila membenarkan DVN mereka bertindak sebagai pengesah tunggal bagi transaksi bernilai tinggi. Layerzero juga mengakui bahawa mereka gagal mengawasi apa yang sedang diamankan oleh DVN mereka, yang mewujudkan risiko “titik kegagalan tunggal”.

Untuk membetulkan perkara ini, makmal tersebut kini mendidik pembangun tentang konfigurasi yang selamat dan tidak lagi akan menyokong konfigurasi DVN 1/1. Pendedahan itu turut menyentuh satu kelompongan keselamatan yang pelik melibatkan penandatangan multisig. Tiga setengah tahun lalu, seorang individu tersilap menggunakan dompet perkakasan multisig untuk satu urus niaga peribadi.

Penandatangan tersebut telah pun disingkirkan, dan firma itu telah melaksanakan penyelesaian multisig binaan tersuai yang digelar “Onesig.” Onesig direka untuk mencegah transaksi backend yang tidak dibenarkan dengan melakukan hashing dan merklizing transaksi secara setempat di pihak pengguna. Layerzero menyatakan bahawa ia juga sedang meningkatkan ambang multisignya daripada 3/5 kepada 7/10 merentasi semua rantaian yang menyokong Onesig.

Langkah ini, jelas firma itu, adalah sebahagian daripada usaha yang lebih luas untuk memperkukuh protokol daripada ancaman masa depan yang ditaja negara. Walaupun berlaku pelanggaran, protokol itu menegaskan bahawa lebih daripada $9 bilion dalam volum telah bergerak merentasi rangkaian sejak 19 April. Layerzero menekankan bahawa ia dibina berasaskan tesis bahawa aplikasi sepatutnya memiliki keselamatan mereka dari hujung ke hujung untuk mengelakkan risiko sistemik.

Seni bina tersebut telah memudahkan lebih daripada $260 bilion jumlah pemindahan setakat ini, menurut catatan blog itu. Pada masa hadapan, Layerzero mengesyorkan agar pembangun mengepin konfigurasi mereka dan bukannya bergantung pada tetapan lalai. Pasukan itu juga mencadangkan agar pengesahan blok ditetapkan pada tahap di mana penyusunan semula (reorganizations) hampir mustahil.

Pasukan itu kini sedang membangunkan klien DVN kedua yang ditulis dalam Rust untuk memupuk kepelbagaian klien. Naik taraf tambahan termasuk konfigurasi kuorum RPC yang lebih mantap. Ini, menurut Layerzero, membolehkan DVN memilih kuorum yang terperinci merentas penyedia dalaman dan luaran. Pasukan itu juga melancarkan “Console,” sebuah platform bersatu untuk penerbit aset mengurus keselamatan dan memantau anomali.

Pasukan Layerzero kekal bertegas bahawa protokol asas tidak terjejas oleh peracunan RPC. Mereka menegaskan bahawa reka bentuk modular membolehkan baki $9 bilion trafik terkini kekal selamat. Pengakuan mengenai serangan yang dikaitkan dengan Kumpulan Lazarus menunjukkan realiti dan ancaman berterusan yang dihadapi infrastruktur rentas rantaian pada hari ini. Mesej Layerzero menyusuli beberapa projek DeFi yang memilih untuk memanfaatkan CCIP Chainlink.

Awal minggu ini, Kementerian Luar Korea Utara (melalui media negara KCNA) menolak dakwaan A.S. dan antarabangsa yang mengaitkannya dengan kecurian mata wang kripto dan serangan siber. Mereka menyifatkan tuduhan itu sebagai “fitnah yang tidak masuk akal,” “maklumat palsu,” dan kempen calar politik yang didorong A.S. untuk mencemarkan imej mereka.