KelpDAO khởi kiện Layerzero liên quan đến vụ sụp đổ cầu giao dịch trị giá 292 triệu USD

Năm tháng trước, một cầu nối vận chuyển rsETH của KelpDAO đã nhận được một tin nhắn dường như cho biết 116.500 token đã bị đốt trên một blockchain khác. Thực tế không phải vậy. Cầu nối vẫn tin vào thông báo đó và đã giải phóng khoảng $292 triệu giá trị rsETH trên Ethereum trong một khối duy nhất. Kẻ tấn công ngay lập tức sử dụng phần lớn số đó để vay các tài sản thực từ Aave.

Giờ đây, các công ty đứng sau hệ thống này đang đối mặt với nhau tại tòa án. Vào ngày 24 tháng 9, Evercrest Technologies Inc. – công ty đứng sau Kelp – đã nộp đơn kiện dân sự tại British Columbia chống lại Layerzero Labs và CEO của công ty này, Bryan Pellegrino, biến cuộc tranh cãi kéo dài nhiều tháng thành một cuộc chiến pháp lý xoay quanh một câu hỏi tưởng chừng đơn giản nhưng đầy mưu mô: Ai là chủ sở hữu của "điểm yếu" đó?

"Hôm nay, chúng tôi đã nộp đơn kiện chống lại Layerzero và đồng sáng lập của công ty này, Bryan Pellegrino, nhằm khắc phục những sai lầm liên quan đến vụ khai thác cầu Layerzero của rsETH hồi đầu năm nay," tài khoản X của KelpDAO viết. "Như đã nêu trong đơn kiện của chúng tôi, vụ khai thác này là hậu quả trực tiếp từ những sai sót của LayerZero — bao gồm việc không công bố các lỗ hổng và rủi ro vốn có trong chính công nghệ của LayerZero, cũng như không ngăn chặn được việc xâm nhập vào cơ sở hạ tầng bảo mật của chính LayerZero, điều này đã cho phép các kẻ tấn công khai thác những lỗ hổng đó."

Một tin nhắn đã giải phóng 292 triệu USD

Vấn đề bắt đầu vào lúc 17:35 UTC ngày 18 tháng 4. rsETH của Kelp đã sử dụng công nghệ LayerZero để di chuyển giữa các blockchain. Hành trình từ Unichain sang Ethereum của nó dựa vào cái gọi là mạng xác thực phi tập trung 1-of-1 (DVN). Nói một cách đơn giản, chỉ có một trình xác minh đứng giữa tin nhắn đến và việc giải phóng token.

Trình xác minh đó có nhiệm vụ đảm bảo rằng rsETH đã thực sự bị đốt hoặc bị khóa trên chuỗi nguồn trước khi một lượng tương đương được giải phóng trên Ethereum. Những kẻ tấn công đã tìm ra cách vượt qua bước kiểm tra này.

Một gói tin giả mạo đã được xác minh, cam kết và chuyển đến Ethereum. Bộ điều hợp của cầu nối đã giải phóng 116.500 rsETH dù không có hoạt động đốt token tương ứng nào diễn ra. Số dư của nó đã giảm từ 116.723 rsETH xuống còn vỏn vẹn 223 rsETH chỉ trong một khối. Khoảng 18% nguồn cung rsETH đang lưu hành đã thực sự biến mất. Đây không phải là số tiền nhỏ. Các vụ khai thác cầu nối sau đó đã trở thành chủ đề chính trong tháng 5.

Các hợp đồng đã thực hiện đúng những gì được chỉ định

Điều kỳ lạ là các hợp đồng token của Kelp dường như không gặp sự cố. Chainalysis phát hiện ra rằng sự cố này xảy ra ngoài chuỗi (off-chain). Layerzero sau đó cho biết một kẻ tấn công đã thực hiện kỹ thuật lừa đảo xã hội đối với một trong các nhà phát triển của họ vào ngày 6 tháng 3, đánh cắp thông tin đăng nhập phiên làm việc và xâm nhập vào hệ thống RPC đám mây của công ty. Cơ sở hạ tầng RPC về cơ bản là hệ thống đường ống mà phần mềm sử dụng để hỏi blockchain về những gì đã xảy ra.

Các kẻ tấn công được cho là đã làm hỏng các nút nội bộ được sử dụng bởi trình xác minh của Layerzero. Sau đó, vào ngày 18 tháng 4, các nhà cung cấp RPC bên ngoài đã bị tấn công từ chối dịch vụ phân tán (DDoS), buộc bộ xác thực phải kết nối với các nút đã bị xâm nhập. Các nút này cung cấp thông tin sai lệch cho thấy một giao dịch đốt token hợp lệ đã diễn ra. Do chỉ có một bộ xác thực kiểm tra tin nhắn, nên không có ý kiến thứ hai.

Gói tin giả mạo đã được chấp thuận. Báo cáo sự cố sau đó của Layerzero, trích dẫn nghiên cứu từ Mandiant và Crowdstrike, quy trách vụ xâm nhập này cho Trader-Traitor, còn được gọi là UNC4899, một nhóm có liên kết với Triều Tiên và thuộc mạng lưới rộng lớn hơn là Lazarus Group. Việc quy trách này vẫn chỉ là đánh giá tình báo chứ không phải là kết luận trong vụ kiện dân sự tại British Columbia.

Sau đó, Aave Phải Chịu Thiệt Hại

Kẻ tấn công đã chia rsETH vừa được phát hành ra thành bảy địa chỉ và gửi khoảng 89.567 rsETH vào Aave V3 trên Ethereum và Arbitrum. Tài sản đảm bảo giả mạo đó đột ngột trở thành tài sản thế chấp cho các khoản vay thực sự. Kẻ tấn công đã vay khoảng 82.650 wrapped ether (WETH) và 821 wrapped staked ether (wstETH). Hệ thống Protocol Guardian của Aave bắt đầu đóng băng các khoản dự trữ rsETH và wrsETH vào khoảng 19:00 UTC.

Kelp đã tạm dừng các hợp đồng khoảng 46 phút sau lần rút tiền đầu tiên và ngăn chặn được một gói dữ liệu giả mạo thứ hai liên quan đến khoảng 40.000 rsETH, ước tính trị giá từ $95 triệu đến $100 triệu. Chỉ riêng lần đầu tiên đã là quá đủ. Các ước tính về khoản nợ xấu phát sinh của Aave dao động từ 123,7 triệu đến 230,1 triệu USD, tùy thuộc vào cách thức phân bổ tổn thất cuối cùng.

Vào thời điểm đó, dữ liệu từ Defillama cho thấy tổng giá trị bị khóa (TVL) trong lĩnh vực tài chính phi tập trung (DeFi) đã giảm hơn 14 tỷ USD trong những ngày sau vụ khai thác, trong khi Binance Research sau đó đã liên kết làn sóng khai thác rộng hơn vào tháng 4, bao gồm cả vụ Kelp, với khoảng 13 tỷ USD dòng vốn chảy ra khỏi DeFi. Đến lúc đó, tình hình đã trở nên căng thẳng.

Câu hỏi trị giá $292 triệu: Ai là người phải chịu trách nhiệm?

Layerzero và Kelp đồng ý về nhiều cơ chế cơ bản. Tuy nhiên, hai bên lại có quan điểm trái ngược hoàn toàn về việc ai phải chịu trách nhiệm cho những cơ chế đó. Layerzero đã thừa nhận rằng môi trường RPC của họ đã bị xâm phạm, nhưng họ cũng chỉ ra cấu hình trình xác minh 1-of-1 của Kelp là điểm lỗi duy nhất. Công ty này cho biết họ đã khuyến nghị sử dụng cấu hình với nhiều trình xác minh.

Kelp lại đưa ra một câu chuyện khác. Họ cho biết cấu hình "1-of-1" là thiết lập mặc định đã được Layerzero ghi chép, rằng Layerzero đã xem xét và phê duyệt việc triển khai của Kelp bằng văn bản, và rằng Kelp đã được thông báo rằng các thiết lập mặc định là an toàn. Kelp cũng trích dẫn số liệu từ Dune cho thấy khoảng 47% ứng dụng của Layerzero, tương đương hơn 1.200 hợp đồng, đã sử dụng cấu hình này.

Sự bất đồng này chính là trọng tâm của vụ kiện dân sự mới. Kelp cáo buộc Layerzero đã không công bố các rủi ro công nghệ, không ngăn chặn được kẻ tấn công xâm nhập vào cơ sở hạ tầng được sử dụng bởi bên xác thực của họ và đã phê duyệt cấu hình của Kelp trước khi lỗ hổng bị khai thác. Pellegrino đã gọi đơn kiện này là “vô căn cứ” và cho biết ông sẽ tự bào chữa cho bản thân và Layerzero tại Vancouver. Chưa có tòa án nào phán quyết ai đúng.

"Evercrest (KelpDAO) hôm nay đã nộp thông báo khởi kiện dân sự tại British Columbia chống lại tôi và LZ. Vụ kiện này vẫn hoàn toàn vô căn cứ, tôi sẽ gặp họ tại Vancouver và tự bào chữa cho mình một cách thích hợp," Pellegrino viết.

Layerzero sau đó đã thay đổi các quy tắc

Những gì xảy ra sau vụ khai thác lỗ hổng đã thêm một tình tiết phức tạp nữa. Layerzero đã từ bỏ việc hỗ trợ cấu hình DVN 1-of-1 cho các giao dịch có giá trị cao và chuyển sang mặc định sử dụng nhiều người xác minh. Vào ngày 8-9 tháng 5, công ty đã xin lỗi về cách thức thông tin liên lạc của mình và cho biết họ “đã mắc sai lầm khi cho phép DVN của chúng tôi hoạt động như một DVN 1/1 cho các giao dịch có giá trị cao.”

Điều này không phải là sự thừa nhận rằng Layerzero phải chịu trách nhiệm pháp lý đối với các khoản lỗ của Kelp. Tuy nhiên, nó đặt ra một sự thật khó xử: Cấu hình nằm ở trung tâm của cuộc tranh cãi chính là cấu hình mà chính Layerzero sau đó đã thừa nhận không nên được phép sử dụng cho các giao dịch giá trị cao. Kelp đã đi xa hơn và chuyển hướng.

Vào đầu tháng 5, công ty này đã công bố kế hoạch chuyển rsETH khỏi hệ thống OFT của Layerzero sang cơ sở hạ tầng CCIP và CCT của Chainlink. Solv Protocol và các dự án khác cũng đã chuyển một lượng tài sản đáng kể khỏi Layerzero sau sự cố này. Trong khi đó, nỗ lực khắc phục hậu quả đã lan rộng ra ngoài phạm vi của Kelp.

Hội đồng An ninh của Arbitrum đã đóng băng khoảng 30.765,67 ETH, lúc đó trị giá khoảng 71 triệu USD, liên quan đến kẻ khai thác lỗ hổng. Các bên tham gia trong ngành, bao gồm Aave, Lido, Ether.fi, Ethena, Mantle, Consensys và Joe Lubin đã tổ chức hỗ trợ phục hồi thông qua DeFi United. Vào cuối tháng 5, Kelp cho biết đợt phục hồi cuối cùng của họ đã hoàn tất, và các hoạt động đúc, đổi và chuyển giao đã trở lại bình thường.

Giờ đây, vụ Paper Trail sẽ được xét xử tại tòa

Vụ kiện tại Vancouver thay đổi địa điểm xét xử, chứ chưa thay đổi nội dung vụ việc. Đơn kiện được đăng ký tại Tòa án Vancouver với số hồ sơ 267169, nhưng thông báo đầy đủ về đơn kiện dân sự vẫn chưa được công bố công khai. Điều này có nghĩa là các căn cứ khởi kiện cụ thể và số tiền bồi thường mà Kelp yêu cầu vẫn chưa được xác minh độc lập.

Vụ kiện này có thể giúp đưa "dấu vết giấy tờ" vào tầm ngắm chi tiết. Kelp cho biết Layerzero đã phê duyệt cấu hình của họ bằng văn bản. Layerzero khẳng định Kelp đã chọn cấu hình chỉ có một trình xác minh dù có khuyến nghị ủng hộ việc kiểm tra đa tầng. Tòa án có thể yêu cầu cung cấp tài liệu, xem xét các trao đổi đó và xác định nghĩa vụ pháp lý thực tế mà mỗi bên phải tuân thủ.

Vấn đề này vượt ra ngoài một vụ khai thác cầu nối trị giá 292 triệu USD. DeFi ngày càng phụ thuộc vào các lớp hạ tầng bên ngoài cung cấp thông tin cho hợp đồng thông minh về những gì đã xảy ra ở nơi khác. Các hợp đồng có thể hoàn hảo nhưng vẫn thực thi một thông tin sai lệch nếu hệ thống cung cấp dữ liệu cho chúng bị xâm phạm.

Vào ngày 18 tháng 4, một bên xác minh đã tin vào thông tin sai lệch đó, và 116.500 rsETH đã xuất hiện trên blockchain Ethereum mà không bị đốt ở bất kỳ nơi nào khác. Công nghệ này chỉ mất một khối để đưa ra quyết định. Giờ đây, một thẩm phán sẽ xem xét lại vụ việc.