لایه زیرو (LayerZero) یافته‌های کلیدی خود را در مورد حمله (اکسپلویت) Kelp DAO منتشر کرده و این حادثه را به عاملان سایبری کره شمالی مرتبط دانسته است.

در ۱۸ آوریل، پل بین‌زنجیره‌ای Kelp DAO که با فناوری لایه زیرو کار می‌کند، ۱۱۶,۵۰۰ توکن rsETH به ارزش تقریبی ۲۹۲ میلیون دلار را از دست داد که آن را به بزرگترین حمله دیفای (DeFi) در سال جاری تبدیل می‌کند.

لایه زیرو در آخرین بیانیه خود نوشت: "نشانه‌های اولیه حاکی از انتساب این حمله به یک عامل دولتی بسیار پیچیده، احتمالاً گروه لازاروس کره شمالی (DPRK) و به طور خاص‌تر TraderTraitor است."

لایه زیرو توضیح داد که مهاجم به فهرست گره‌های RPC (آر پی سی) مورد استفاده توسط شبکه تأیید شده غیرمتمرکز (DVN) آزمایشگاه‌های لایه زیرو دسترسی پیدا کرده است؛ اینها نهادهای مستقلی هستند که پیام‌های بین‌زنجیره‌ای را تأیید می‌کنند.

مهاجم سپس دو گره از این گره‌های RPC را آلوده کرد و باعث شد تا آنها یک پیام جعلی بین‌زنجیره‌ای را به DVN ارسال کنند. مهاجم یک حمله DDoS (دیداس) را علیه گره‌های سالم (پاک) راه‌اندازی کرد تا DVN را وادار به تکیه بر گره‌های آلوده کند.

تک نقطه شکست

از آنجایی که Kelp DAO از یک پیکربندی DVN تک-به-تک (1-of-1) و بدون افزونگی استفاده می‌کرد، پیام جعلی پذیرفته شد و به پل اجازه داد تا توکن را قفل‌گشایی کند. لایه زیرو Kelp DAO را به خاطر انتخاب فعالیت با یک پیکربندی تک DVN مقصر دانست.

در این بیانیه آمده است: "فعالیت با پیکربندی تک نقطه شکست به این معنی بود که هیچ تأییدکننده مستقلی برای تشخیص و رد یک پیام جعلی وجود نداشت." "لایه زیرو و سایر نهادهای خارجی قبلاً بهترین شیوه‌ها را در مورد تنوع‌بخشی DVN به KelpDAO ابلاغ کرده بودند. با وجود این توصیه‌ها، KelpDAO انتخاب کرد تا از پیکربندی DVN 1/1 استفاده کند."

در همین حال، این بیانیه اطمینان داد که "هیچ سرایتی" به هیچ دارایی یا برنامه کاربردی دیگری وجود ندارد.

لایه زیرو نوشت که DVN آزمایشگاه‌های لایه زیرو عملیاتی است و تمام برنامه‌های کاربردی تحت یک پیکربندی چند DVN باید برای از سرگیری عملیات خود اطمینان داشته باشند. این بیانیه اعلام کرد که از این پس، لایه زیرو پیام‌ها را از هیچ برنامه‌ای که از پیکربندی DVN 1/1 استفاده می‌کند، امضا نخواهد کرد.

این شرکت افزود که لایه زیرو در حال همکاری با چندین آژانس اجرای قانون برای بررسی بیشتر موضوع و فعالانه در حال ردیابی وجوه سرقت شده است.

تأثیر بر Aave

حمله ۱۸ آوریل به Kelp DAO یک اثر دومینو در سراسر این بخش ایجاد کرده، موجی از برداشت‌ها از Aave را برانگیخته و توقف‌های اضطراری را در پروتکل‌های متعدد به دنبال داشته است.

عامل مخرب، توکن‌های سرقت شده را به Aave V3 منتقل کرد، جایی که مهاجم از rsETH به عنوان وثیقه برای وام گرفتن مقادیر قابل توجهی WETH استفاده کرد، که بنا بر گزارش‌ها بدهی سوخت (bad debt) در Aave ایجاد کرد. در پاسخ، پروتکل بازارهای rsETH را در هر دو نسخه V3 و V4 مسدود کرد تا ریسک را مهار کند.

استانی کولچوف، بنیانگذار Aave، در X نوشت: "rsETH در Aave V3 و V4 مسدود شده است، این دارایی به عنوان اقدامی به دلیل حمله (اکسپلویت) پل KelpDAO که خارج از Aave اتفاق افتاد، هیچ قدرت وامی ندارد. هر دو Aave V3 و V4 دیگر در معرض rsETH نیستند."

با وجود اقدامات سریع Aave، این پلتفرم شاهد خروج قابل توجه وجوه بود.

بر اساس داده‌های تاریخی Aavescan، از زمان حمله Kelp DAO، بیش از ۱۰ میلیارد دلار وجوه از Aave خارج شده است، و کل مبلغ تأمین‌شده آن از ۴۵.۸ میلیارد دلار قبل از حمله به ۳۵.۷ میلیارد دلار کاهش یافته است.

مارک زلر، بنیانگذار Aave Chan Initiative و یکی از شخصیت‌های برجسته در اکوسیستم Aave، از کاربران پلتفرم خواست تا به سرعت WETH را از پروتکل برداشت کنند و نوشت: "اکنون برداشت کنید، بعداً سؤال بپرسید."

در همین حال، Aave به نگرانی‌های جاری پاسخ داد و بیان کرد که راه‌هایی را برای جبران کسری در صورت انباشت بدهی سوخت (bad debt) توسط پروتکل بررسی خواهد کرد.

آسیب‌پذیری‌های ساختاری

حمله Kelp DAO باعث شده است که ده‌ها پروتکل دیفای از روی احتیاط، پل‌های OFT (توکن قابل تعویض اومنی‌چین) LayerZero خود را مسدود کنند. این‌ها شامل پروتکل‌های اصلی مانند اتینا (Ethena)، ایثر.فای (ether.fi)، ترون DAO (Tron DAO)، کروک فایننس (Curve Finance) و بسیاری دیگر هستند.

داده‌های DefiLlama نشان می‌دهد که ارزش کل قفل شده (TVL) در دیفای در ۲۴ ساعت گذشته ۷ درصد کاهش یافته است. TVL دیفای در حال حاضر حدود ۸۶.۳ میلیارد دلار است که از ۹۹.۵ میلیارد دلار در ۱۸ آوریل کاهش یافته است.

مین جونگ، محقق همکار در Presto Research گفت: "حمله Kelp DAO بازتاب دیگری از آسیب‌پذیری‌های ساختاری در دیفای است، به ویژه در زیرساخت‌های بین‌زنجیره‌ای و طعنه آمیز بودن تمرکز لایه‌های امنیتی حیاتی." "از منظر اعتماد، این زمان‌بندی، پس از حوادثی مانند Drift، آسیب‌رسان است، زیرا کاربران به طور فزاینده‌ای زیر سوال می‌برند که آیا بازدهی پایین، خطر حملات (exploitها) را توجیه می‌کند."

این محقق به The Block گفت که مجموعه حملات بزرگ در دیفای احتمالاً حرکتی را به سمت مدیریت ریسک سختگیرانه‌تر و طراحی معماری بهبودیافته تسریع خواهد کرد.