Layerzero khẳng định không có sự lây lan nào sau vụ khai thác trị giá 290 triệu USD, trong bối cảnh những thông tin trái chiều khiến sự giám sát ngày càng chặt chẽ

Điểm chính:

• Layerzero cho rằng vụ khai thác này là do sự cố cơ sở hạ tầng, làm suy yếu niềm tin vào các mô hình bảo mật cầu nối.
• Zach Rynes của Chainlink đã chỉ trích sự tập trung hóa của các trình xác thực, làm gia tăng rủi ro về uy tín trong toàn bộ hệ sinh thái DeFi.
• KelpDAO hiện đang đối mặt với áp lực phải áp dụng cấu hình đa DVN, báo hiệu các tiêu chuẩn nghiêm ngặt hơn trong tương lai.

Rủi ro bảo mật cầu DeFi phơi bày những điểm yếu về cấu trúc

Một vụ vi phạm an ninh xuyên chuỗi nghiêm trọng đang làm gia tăng sự giám sát đối với thiết kế cầu nối trong lĩnh vực tài chính phi tập trung (DeFi) sau khi LayerZero Labs trình bày báo cáo về vụ khai thác rsETH trị giá khoảng $290 triệu của KelpDAO. Vào ngày 18 tháng 4, tuyên bố này đã được đăng tải trên nền tảng mạng xã hội X, mô tả sự cố là một cuộc tấn công ở cấp độ hạ tầng, phơi bày các rủi ro liên quan đến cấu trúc xác thực tập trung.

Trong tuyên bố, Layerzero Labs cho biết:

"Các dấu hiệu ban đầu cho thấy vụ việc có thể do một thực thể nhà nước có trình độ cao thực hiện, rất có thể là nhóm Lazarus của Triều Tiên, cụ thể là TraderTraitor."

Theo các chi tiết được cung cấp, cuộc tấn công nhắm vào hạ tầng gọi thủ tục từ xa (RPC) ở phía hạ lưu được sử dụng bởi Mạng lưới Người xác minh Phi tập trung (Decentralized Verifier Network) của họ. Thay vì khai thác chính giao thức, các kẻ tấn công được cho là đã đầu độc các hệ thống RPC, thao túng dữ liệu được trình bày cho người xác minh và sử dụng áp lực từ chối dịch vụ phân tán (DDoS) nhằm vào các điểm cuối chưa bị xâm nhập. Sự kết hợp này cho phép các giao dịch gian lận được xác thực mà không bị phát hiện qua các hệ thống giám sát.

Layerzero Labs cho rằng điểm yếu chính nằm ở cấu hình rsETH của KelpDAO, vốn dựa trên mô hình DVN 1-1. Mô hình này khiến không có trình xác minh độc lập nào có thể từ chối tin nhắn giả mạo một khi hạ tầng hỗ trợ đã bị xâm nhập. Tuyên bố này cho rằng thiết lập này đi ngược lại các khuyến nghị lâu nay về dự phòng đa DVN. Tuyên bố cũng cho biết một cấu hình đa dạng hóa đúng cách sẽ yêu cầu sự đồng thuận giữa nhiều bên xác minh, điều này sẽ khiến cuộc tấn công trở nên vô hiệu ngay cả khi một đường dẫn bị xâm nhập.

Cuộc tranh luận về trách nhiệm giải trình ngày càng gay gắt trong toàn bộ cơ sở hạ tầng tiền điện tử

Layerzero Labs cũng nhấn mạnh rằng tác động vẫn được kiểm soát trong toàn bộ hệ sinh thái rộng lớn hơn. "Chúng tôi đã tiến hành một cuộc rà soát toàn diện các tích hợp đang hoạt động trên giao thức Layerzero," Layerzero Labs tuyên bố, đồng thời nhấn mạnh:

"Chúng tôi có thể khẳng định chắc chắn rằng không có sự lây lan nào đến bất kỳ tài sản hoặc ứng dụng nào khác."

"Sự cố này hoàn toàn bị cô lập trong cấu hình rsETH của KelpDAO do hậu quả trực tiếp từ thiết lập DVN đơn lẻ của họ," họ bổ sung. Cách diễn giải này ủng hộ quan điểm rằng giao thức đã hoạt động đúng như dự định, với cơ chế bảo mật mô-đun giới hạn thiệt hại ở một tích hợp duy nhất thay vì gây ra rủi ro hệ thống rộng hơn.

Phản ứng của cộng đồng chia rẽ sâu sắc, với một số người trực tiếp thách thức cách giải thích này. Zach Rynes, đại diện cộng đồng tại Chainlink, bình luận trên X: "Như dự đoán, Layerzero đang chuyển hướng trách nhiệm rằng hạ tầng nút DVN của chính họ đã bị xâm phạm và gây ra vụ khai thác cầu trị giá $290 triệu." Ông lập luận rằng vấn đề xuất phát từ cả việc kiểm soát hạ tầng và sự tập trung của các validator, tạo ra một điểm yếu duy nhất. Rynes đã cảnh báo về rủi ro tập trung hóa này từ nhiều năm trước và cảnh báo rằng các cấu hình như vậy khiến người dùng phải đối mặt với rủi ro hệ thống quá lớn. "Việc khẳng định không có sự lây lan chỉ là 'điểm nhấn' cuối cùng," ông kết luận. Tranh cãi này phản ánh sự chia rẽ rộng hơn về trách nhiệm khi một thực thể kiểm soát cả hạ tầng và quá trình xác thực.