Charles Hoskinson, KelpDAO saldırısının ardındaki zincirler arası güvenlik açıklarının çözümü olarak Cardano ve Midnight’ı işaret ediyor

Önemli Noktalar:

• Bir saldırgan, 18 Nisan'da KelpDAO'nun zincirler arası köprüsünü istismar ederek, yaklaşık 292 milyon dolar değerinde 116.500 yeniden yatırılmış ETH çaldı.
• Bu ihlal, 48 saat içinde 13 milyar dolardan fazla DeFi TVL çıkışına neden oldu ve Aave, Compound, Morpho ve en az 9 diğer protokolü etkiledi.
• Charles Hoskinson, Midnight'ın sıfır bilgi kanıtları ve çok taraflı hesaplamalarının bu tür saldırıların tekrarlanmasını önleyebileceğini söylüyor.

Hoskinson, Cardano'nun Saklama Dışı Staking'inin Yeniden Staking Riskini Neden Önlediğini Açıklıyor

Cardano'nun kurucusu ve Ethereum'un kurucu ortağı Charles Hoskinson, Wyoming'den yayınlanan bir videoda saldırıyı ayrıntılı olarak anlattı ve izleyicilere yapay zeka (AI) tarafından oluşturulan özel bir olay raporu web sitesini gezdirdi.

Hoskinson, "Standart DeFi tehdit modeli, akıllı sözleşme hatalarının baskın risk olduğunu varsayar," dedi. "Bu artık doğru değil."

Hoskinson şunları ekledi:

"Köprüler çok sorunlu olabilir. Tek bir doğrulayıcı kullanmak iyi değildir. Bunu yapmayın. Ayrıca sorun şu ki, parayı çalarlarsa, DeFi kredisi çıkış koşulu olur. Yani temel olarak, para yatırabilir, kredi verebilirsiniz ve bu tokenleri aldığınızda, hırsızlıkla bağlantısı olmayan tokenler elde edersiniz ve teminat fiilen zehirlenmiş olur."

Saldırgan, Kelp'in yeniden stake etme adaptörüne bağlı v2 sözleşmesi uç noktasına ulaşan sahte bir Layerzero mesajı gönderdi; bu da token'ları bir Ethereum emanet hesabından serbest bıraktı. Sahte paket, kaynağı olarak Uni-Chain uç noktası kimliği 30320'yi gösterdi. Kelp'in zincirler arası yapılandırması, tek bir merkeziyetsiz doğrulayıcı ağına dayanıyordu; bu, saldırgana tek bir saldırı noktası sağlayan bire bir bir kurulumdu.

Çalınan tokenlar, fiyatı çökertecek olan merkeziyetsiz borsa (DEX) platformlarında doğrudan satılmadı. Saldırgan, Kelp veya ortakları pozisyonları dondurmadan önce yeniden stake edilen ETH'yi Aave gibi borç verme piyasalarına teminat olarak yatırdı, buna karşılık likit sarılmış ether ödünç aldı ve orijinal hırsızlıkla ilgisi olmayan varlıklarla kaçtı. Zehirlenmiş teminat, borç verme piyasalarının içinde kaldı.

20 Nisan'da yayınlanan Llamarisk'in ortak olay raporu, Ethereum çekirdeği ve Arbitrum'daki yedi saldırgan cüzdanına yayılmış 83.471 ETH eşdeğerini doğruladı. Rapor, iki çözüm senaryosu özetledi. İlki, yeniden stake edilen tüm ETH sahiplerine %15,12'lik bir kesinti uygulayarak, Ethereum çekirdeğinin rezervi tarafından emilen yaklaşık 123 milyon dolarlık batık borç oluşturuyor. İkincisi, kayıpları katman iki (L2) düzeyinde izole ediyor, tokenleri %26,46 destek oranına göre yeniden fiyatlandırıyor ve Mantle, Arbitrum ve Base'de yoğunlaşan yaklaşık 230 milyon dolarlık batık borç oluştururken, Ethereum çekirdeğini etkilenmeden bırakıyor.

Sadece Aave'de 6,6 milyar ile 8,45 milyar dolar arasında çıkış yaşandı. Arbitrum, Base, Mantle, Linia ve Plasma'daki Wrapped ETH havuzları neredeyse %100 kullanım oranına ulaşarak para çekimlerini fiilen engelledi. Compound, Morpho, Lido, Ethena, Pendle, Euler, Beefy ve Lombard Finance dahil olmak üzere en az dokuz DeFi protokolü doğrudan etkilenenler olarak sınıflandırıldı.

KelpDAO, Layerzero ve Llamarisk tarafından üç ayrı olay sonrası analiz yayınlandı. Hiçbiri sorumluluğun kime ait olduğu konusunda hemfikir değil. Layerzero, 20 Nisan'da, tek bir DVN yapılandırması çalıştıran hiçbir uygulama için artık mesajları imzalamayacağını veya tasdik etmeyeceğini duyurdu ve protokol genelinde çoklu doğrulayıcı kurulumlarına geçişi teşvik etti. Kelp, Layerzero'nun varsayılan yapılandırmasının Ethereum, BNB Chain, Polygon, Arbitrum ve Optimism genelinde tek kaynaklı doğrulama ile geldiğini ve tüm Layerzero OFT uygulamalarının şu anda %40 ila %50'sinin aynı tek-tek kurulumunu kullandığını iddia ediyor.

Onchain adli tıp analizleri, Kuzey Kore ile bağlantılı devlet destekli bir hacker grubu olan Lazarus Group ile bağlantılar olduğunu gösteriyor. Hiçbir bağımsız adli tıp firması resmi bir atıfta bulunmadı ve FBI da kamuoyuna herhangi bir açıklama yapmadı.

Hoskinson: "Cardano dünyasındaysanız, sadece 'Delegate'e tıklayın… Biz likit ve saklama hizmeti sunmayan bir platformuz"

Hoskinson, saldırıyı, köprü doğrulama hatalarının akıllı sözleşme hatalarının yerini alarak DeFi'nin birincil tehdit vektörü haline geldiğinin kanıtı olarak gösterdi. İlk para çekme işlemi ile Kelp'in acil durdurma işlemi arasındaki 46 dakikalık süreyi, olay müdahalesinin önemli olduğunu ancak çalınan varlıkların kredi piyasalarına aktarılma hızını geçemeyeceğinin bir işareti olarak gösterdi.

Hoskinson videosunda "Bunu yeni kılan şey bulaşıcılık" dedi. "Bu sadece bir köprü hack'i değildi. Krediye yayıldı ve bu da bu kredi protokollerinin içinde kötü borç bulaşmasına yol açtı. Bir banka paniği yarattı ve 290 milyon dolarlık bir hack için çok kısa bir sürede 13 milyar dolarlık TVL'nin çekildiğini gördük. Bu bir güven krizidir."

Hoskinson, Cardano'nun daha düşük risk maruziyetini, likit ve saklama gerektirmeyen staking tasarımının bir sonucu olarak değerlendirdi. Bu tasarım, Kelp'te saldırı yüzeyini oluşturan staking-likit-staking-restaking sarmal zincirine olan ihtiyacı ortadan kaldırıyor. Hoskinson, Cardano'nun gizlilik odaklı yan zinciri Midnight'ın ilgili temel güvenlik açıklarını ele aldığını savundu.

Nightstream protokolü, tüm zincir durumlarını çapraz zincir mesajlarıyla birlikte taşınan kanıtlara dönüştürerek, sahte mesajların kabul edilmeden önce doğrulanabilir olmasını sağlıyor. "İnsanlar mesaj gönderdiğinde, gördüklerinin doğru olduğunu doğrulayabilirler," dedi. Midnight'taki çok taraflı hesaplama desteği, Layerzero'nun daha az operasyonel sürtünmeyle anahtar teslimi iki-üç veya beş-yedi DVN yapılandırmalarını devreye almasına olanak tanıyacak.

Sıfır bilgi kanıtları, doğrulama katmanında zehirli mesajları engelleyecektir. Ağ anonimleştirme, bu tür saldırıların DDoS bileşeninin yürütülmesini zorlaştıracaktır. Büyük AI laboratuvarlarındaki rüşvetle satın alınmış içeriden kişiler aracılığıyla Lazarus Grubu'nun erişebildiği bildirilen öncü modeller de dahil olmak üzere AI araçlarının, saldırganların tek bir insan denetçinin tespit edemeyeceği acil güvenlik açıkları için tüm kod tabanlarını taramasına olanak tanıdığını söyledi.

"Hacklemeler hayatın bir parçasıdır," dedi, "ve herkes için çok, çok daha kötü hale gelecekler."