Podjetje Chainalysis opozarja na kritično varnostno luknjo v sektorju DeFi, saj je zloraba v vrednosti 292 milijonov dolarjev zaobšla preverjanje uničenja

Ključne ugotovitve:

• Chainalysis opozarja na izkoriščanje KelpDAO, ki razkriva kritično napako v predpostavkah o zaupanju med verigami.
• Analiza je pokazala, da lahko pomanjkljivosti v zasnovi Layerzero omogočijo, da en sam validator zaobide zaščitne ukrepe DeFi.
• Protokoli se soočajo z vse večjimi tveganji, saj Chainalysis opozarja, da se skrite napake lahko izognejo odkrivanju.

Pomanjkljivosti medverigovnih mostov razkrivajo varnostna tveganja DeFi

Podjetje za analizo blokovnih verig Chainalysis je 20. aprila opozorilo na izkoriščanje decentraliziranih financ (DeFi) v vrednosti 292 milijonov dolarjev, s čimer je razkrilo kritične slabosti v zasnovi mostov med verigami. Incident, v katerega je bila vpletena infrastruktura rsETH podjetja KelpDAO, je pokazal, kako lahko manipulirani vnosi zaobidejo sisteme za preverjanje veljavnosti. Primer kaže na naraščajoče zaskrbljenosti glede predpostavk o zaupanju, vgrajenih v protokole z več verigami.

Chainalysis je na družbenem omrežju X navedel:

„Zloraba mostu KelpDAO / rsETH v višini ~292 milijonov dolarjev izpostavlja kritično slepo mesto v varnosti DeFi.“

Podjetje je pojasnilo, da je kršitev izvirala iz pomanjkljivega zaupanja, ne pa iz okvarjenih pametnih pogodb. Napadalci so napadli infrastrukturo LayerZero, ki podpira KelpDAO, in izkoristili kvorum validatorjev 1-od-1. Ta konfiguracija je temeljila na omejenih končnih točkah za oddaljene postopke, kar je ustvarilo eno samo točko odpovedi. Ko je bila ta pot ogrožena, je omogočila nepooblaščena odobritve brez širšega soglasja. Ponudnik analitičnih storitev je opisal, kako je sistem sprejel manipulirane pogoje kot veljavne, kar je omogočilo, da je izkoriščanje potekalo neopaženo s strani standardnih varnostnih ukrepov.

Nespremenljive napake poudarjajo potrebo po spremljanju v realnem času

Napadalec je infiltriral vnosne podatke validatorja z ogrožanjem končnih točk RPC. Lažne informacije so povzročile, da je sistem registriral izmišljeno dogodek sežiga na izvorni verigi.

„Na podlagi tega lažnega stanja je most odobril sporočilo in sprostil 116.500 rsETH na Ethereumu napadalcu. V resnici se ustrezen sežig nikoli ni zgodil. Standardna varnost tega ni zaznala, ker so se transakcije izvedle točno tako, kot je bilo zasnovano na ravni kode,“ je pojasnil Chainalysis. Ta zaporedje je prekršilo ključno invarianto mostu, ki zahteva pariteto med uničenimi sredstvi in izdanimi žetoni. Kljub pravilni izvedbi kode je zanašanje na integriteto zunanjih podatkov omogočilo uspeh izkoriščanja.
Chainalysis je zaključil s širšim opozorilom, v katerem je navedel:

„Ta napad dokazuje, da zaznavanje zlonamerne kode ni dovolj; protokoli morajo zaznati, kdaj sistem preide v nemogoče stanje.“

Podjetje je opozorilo na potrebo po sistemih za neprekinjeno spremljanje, ki so sposobni v realnem času preverjati doslednost med verigami. Orodja, kot so okviri za sledenje invariant, lahko identificirajo neskladja med zaklenjenimi sredstvi in sproščenimi sredstvi. Ti mehanizmi lahko protokolom omogočijo, da ustavijo delovanje, preden se izgube povečajo, kar poudarja pomen preverjanja stanja celotnega sistema, namesto da se zanašamo izključno na revizije kode.