Kelp DAO a annoncé qu'il migrera rsETH vers le Protocole d'Interoperabilité Cross-Chain de Chainlink après l'exploit de pont de 292 millions de dollars d'avril, tandis que son conflit avec LayerZero concernant la cause de l'attaque s'est encore approfondi.
Kelp DAO a déclaré que le passage à Chainlink CCIP fait partie de son plan visant à renforcer la sécurité de rsETH après que des hackers aient siphonné 116 500 rsETH de son pont alimenté par LayerZero le 18 avril. Les jetons volés ont ensuite été utilisés comme garantie sur Aave v3 pour emprunter de l'Ether enveloppé.
« Après le récent exploit de LayerZero, nous prenons des mesures pour garantir que rsETH est entièrement sécurisé, c'est pourquoi nous migrons vers Chainlink CCIP », a déclaré Kelp DAO dans un post sur X.
Ce changement éloignera rsETH de la norme OFT de LayerZero pour l'intégrer à la norme Cross-Chain Token de Chainlink.
L'attaque est devenue l'un des plus grands exploits DeFi signalés cette année. Elle a également provoqué des tensions sur les marchés de prêt car les rsETH volés sont entrés sur Aave en tant que garantie avant que des parties des fonds liés ne soient gelées.
Kelp DAO affirme que LayerZero a approuvé la configuration de vérificateur 1-sur-1 que LayerZero a ensuite blâmée pour l'exploit. Kelp a déclaré avoir utilisé l'infrastructure de LayerZero depuis janvier 2024 et avoir maintenu un canal ouvert avec l'équipe de LayerZero.
Le protocole a également déclaré que la configuration DVN avait été évoquée plus d'une fois lors des discussions d'intégration. Selon Kelp, ces configurations étaient « confirmées comme sécurisées à l'époque ».
Kelp a en outre soutenu que la configuration 1-sur-1 n'était pas rare. Il a cité des données de Dune Analytics montrant que près de la moitié des utilisateurs de LayerZero avaient une configuration DVN unique. Kelp a déclaré que cela soulevait des doutes quant à savoir si le risque avait été clairement communiqué aux développeurs avant le piratage.
L'équipe a également fait référence à des captures d'écran d'échanges Telegram qui, selon elle, montraient la connaissance de LayerZero de la configuration. Cependant, CoinDesk a déclaré ne pas pouvoir vérifier ces captures d'écran de manière indépendante.
Bryan Pellegrino, co-fondateur et PDG de LayerZero, a rejeté le compte rendu de Kelp. Dans une réponse sur X, il a déclaré qu'une « tonne » des affirmations étaient « tout simplement fausses ».
Pellegrino a déclaré que Kelp avait d'abord utilisé la configuration multi-DVN par défaut de LayerZero, puis avait ensuite modifié la configuration en 1-sur-1. Il a soutenu que cette configuration n'était pas recommandée pour une utilisation en production.
« Les paramètres par défaut auxquels Kelp fait référence dans leur capture d'écran étaient multiDVN ou DeadDVN », a déclaré Pellegrino. Il a ajouté que rsETH avait été initialement configuré avec LayerZero Labs et Google sous un modèle multi-DVN.
LayerZero a depuis déclaré qu'il n'approuverait plus les messages inter-chaînes pour les applications utilisant un seul vérificateur. La société a également déclaré que les protocoles utilisant cette configuration sont en cours de migration vers des configurations multi-DVN. Pellegrino a indiqué qu'un post-mortem complet d'entreprises de sécurité externes serait bientôt publié.
L'exploit de rsETH est également passé devant les tribunaux. Selon crypto.news, Aave LLC a déposé une requête d'urgence à New York le 4 mai pour lever un avis de saisie signifié à Arbitrum DAO. Cet avis vise à bloquer le transfert d'ETH lié à l'incident rsETH du 18 avril.
Le dépôt concerne environ 71 millions de dollars d'ETH gelés. Gerstein Harrow LLP affirme que les fonds pourraient aider à satisfaire des jugements impayés liés à un prétendu vol de crypto lié à la Corée du Nord. Aave conteste cette affirmation et déclare que les actifs volés ne deviennent pas la propriété de la Corée du Nord parce qu'un attaquant présumé les a détenus brièvement.
Aave a également déclaré qu'aucun tribunal n'avait établi que la Corée du Nord, le groupe Lazarus ou une partie liée avait mené le piratage. Le protocole a soutenu que les actifs gelés appartiennent aux utilisateurs affectés par l'exploit.
Le Conseil de sécurité d'Arbitrum a gelé 30 765,6675 ETH le 21 avril. Aave a déclaré que les fonds avaient été transférés à une adresse désignée pour soutenir le rsETH et aider les utilisateurs affectés à récupérer leurs fonds.
