Itinuturo ni Charles Hoskinson ang Cardano at Midnight bilang solusyon sa mga kahinaan sa cross-chain na nasa likod ng pag-hack sa KelpDAO

Mahahalagang Punto:

• Sinamantala ng isang umaatake ang cross-chain bridge ng KelpDAO noong Abril 18, na nagnakaw ng 116,500 restaked ETH na nagkakahalaga ng humigit-kumulang $292 milyon.
• Nag-trigger ang paglabag ng mahigit $13 bilyon na DeFi TVL outflows sa loob ng 48 oras, na tumama sa Aave, Compound, Morpho, at hindi bababa sa 9 pang protocol.
• Sinasabi ni Charles Hoskinson na ang zero-knowledge proofs at multi-party computation ng Midnight ay makakapigil para hindi na maulit ang ganitong uri ng pag-atake.

Ipinapaliwanag ni Hoskinson Kung Bakit Iniiwasan ng Non-Custodial Staking ng Cardano ang Panganib ng Restaking

Si Charles Hoskinson, tagapagtatag ng Cardano at co-founder ng Ethereum, ay ipinaliwanag ang pag-atake sa isang video na inilathala mula sa Wyoming, kung saan ginabayan niya ang mga manonood sa isang custom na website ng incident report na ginawa gamit ang artificial intelligence (AI).

“Ang karaniwang DeFi threat model ay ipinapalagay na ang mga bug sa smart contract ang nangingibabaw na panganib,” sabi ni Hoskinson. “Hindi na iyon totoo ngayon.”

Dagdag pa niya:

“Maaaring maging napakaproblematiko ang mga bridge. Hindi maganda ang one-of-one verifier. Huwag ninyong gawin iyon. At ang problema, kapag ninakaw nila ang pera, ang DeFi lending ang exit condition. Kaya sa madaling salita, puwede kang magdeposito, puwede kang manghiram, at kapag nakuha mo ang mga token na iyon, nakakakuha ka ng mga token na hindi konektado sa pagnanakaw, at ang collateral ay epektibong nalason.”

Nagsumite ang umaatake ng pekeng mensahe ng Layerzero na umabot sa endpoint v2 contract na nakakonekta sa restake adapter ng Kelp, na pagkatapos ay naglabas ng mga token mula sa isang Ethereum escrow. Ipinahayag ng huwad na packet ang Uni-Chain endpoint ID 30320 bilang pinagmulan nito. Umasa ang cross-chain configuration ng Kelp sa iisang decentralized verifier network, isang one-of-one na setup na nagbigay sa umaatake ng iisang puntong puwedeng makompromiso.

Hindi direktang ipinagbili ang mga ninakaw na token sa mga platform ng decentralized exchange (DEX), na magpapabagsak sana ng presyo. Sa halip, idineposito ng umaatake ang restaked ETH bilang collateral sa mga lending market tulad ng Aave bago pa ma-freeze ng Kelp o ng mga partner nito ang mga posisyon, nanghiram ng liquid wrapped ether laban dito, at umalis na may mga asset na hindi konektado sa orihinal na pagnanakaw. Nanatili ang nalasong collateral sa loob ng mga borrowing market.

Ang pinagsamang incident report ng Llamarisk, na inilathala noong Abril 20, ay nagkumpirma ng katumbas na 83,471 ETH na nakakalat sa pitong attacker wallet sa Ethereum core at Arbitrum. Inilarawan sa ulat ang dalawang scenario ng resolusyon. Ang una ay nagsa-socialize ng 15.12% haircut sa lahat ng restaked ETH holder, na nagbubunga ng humigit-kumulang $123 milyon na bad debt na sasagutin ng reserve ng Ethereum core. Ang ikalawa ay ini-isolate ang mga pagkalugi sa antas ng layer two (L2), nire-reprice ang mga token sa 26.46% backing at lumilikha ng humigit-kumulang $230 milyon na bad debt na nakapokus sa Mantle, Arbitrum, at Base, habang iniiwang hindi naaapektuhan ang Ethereum core.

Ang Aave lamang ay nakakita ng pagitan ng $6.6 bilyon at $8.45 bilyon sa outflows. Ang mga wrapped ETH pool sa Arbitrum, Base, Mantle, Linia, at Plasma ay umabot sa halos 100 porsiyentong utilization, na epektibong humarang sa mga withdrawal. Hindi bababa sa siyam na DeFi protocol ang nauri bilang direktang apektado, kabilang ang Compound, Morpho, Lido, Ethena, Pendle, Euler, Beefy, at Lombard Finance.

Tatlong magkakahiwalay na post-mortem ang inilathala ng KelpDAO, Layerzero, at Llamarisk. Wala ni isa ang nagkakasundo kung saan nakasalalay ang pananagutan. Inanunsyo ng Layerzero noong Abril 20 na hindi na ito pipirma o magpapatunay ng mga mensahe para sa anumang application na tumatakbo sa one-of-one DVN configuration, na nagtutulak ng protocol-wide na paglipat sa mga multi-verifier na setup. Pinaninindigan ng Kelp na ang default configuration ng Layerzero ay inilabas na may single-source verification sa buong Ethereum, BNB Chain, Polygon, Arbitrum, at Optimism, at na umano’y 40% hanggang 50% ng lahat ng Layerzero OFT application sa kasalukuyan ay gumagamit ng kaparehong one-of-one setup.

Ang onchain forensics ay nagpapahiwatig ng mga koneksyon sa Lazarus Group, isang state-sponsored na hacking collective na inuugnay sa North Korea. Walang independiyenteng forensics firm ang naglabas ng pormal na attribution, at hindi pa nagkomento nang publiko ang FBI.

Hoskinson: ‘Kung Nasa Cardano Ka, I-click Mo Lang ang Delegate … Liquid Non-Custodial Kami’

Itinuro ni Hoskinson ang pag-atake bilang ebidensya na napalitan na ng mga pagkabigo sa bridge verification ang mga bug sa smart contract bilang pangunahing DeFi threat vector. Binanggit niya ang 46-minutong pagitan sa initial drain at sa emergency pause ng Kelp bilang senyales na mahalaga ang incident response ngunit hindi nito kayang higitan ang bilis kung saan maide-deploy ang mga ninakaw na asset sa mga lending market.

“Ang nagpapabago rito ay ang contagion,” paliwanag ni Hoskinson sa kanyang video. “Hindi lang ito bridge hack. Kumalat ito sa lending, na pagkatapos ay lumikha ng bad debt contagion sa loob ng mga lending protocol na ito. Nagdulot ito ng bank run, at nakita naming hinugot ang $13 bilyon na TVL sa napakaikling panahon para sa isang $290 milyon na hack. Iyan ay isang krisis ng tiwala.”

Inilarawan niya ang mas mababang exposure ng Cardano bilang bunga ng liquid, non-custodial staking design nito, na nag-aalis ng pangangailangan para sa chain ng wrapper na staking-to-liquid-staking-to-restaking na lumikha ng attack surface sa Kelp. Ipinahayag ni Hoskinson na ang Midnight, ang privacy-focused sidechain ng Cardano, ay tinutugunan ang mga pangunahing kahinaang sangkot.

Ang Nightstream protocol nito ay pinagsasama ang buong chain states sa mga proof na naglalakbay kasabay ng mga cross-chain message, na ginagawang napapatunayan ang mga huwad na mensahe bago tanggapin. “Kapag nagpapadala ang mga tao ng mga mensahe, mave-verify nila na tama ang nakikita nila,” sabi niya. Ang suporta sa multi-party computation sa Midnight ay magpapahintulot sa Layerzero na mag-deploy ng turnkey na two-of-three o five-of-seven DVN configuration na may mas kaunting operational friction.

Ang zero-knowledge proofs ay haharang sa mga nalasong mensahe sa verification layer. Ang network anonymization ay magpapahirap isagawa ang DDoS component ng ganitong uri ng pag-atake. Sinabi niya na ang mga AI tool, kabilang ang mga frontier model na iniulat na naa-access ng Lazarus Group sa pamamagitan ng mga nasuhulang insider sa mga pangunahing AI lab, ay tumutulong sa mga umaatake na mag-scan ng buong mga codebase para sa mga umuusbong na kahinaan na walang iisang human reviewer ang makakatuklas.

“Ang mga hack ay bahagi ng buhay,” sabi niya, “at lalala pa ito nang husto, husto para sa lahat.”