KelpDAO blâme LayerZero pour un exploit de 292 millions de dollars et prévoit de relancer avec un système inter-chaînes repensé sur Chainlink, a annoncé le groupe sur X mardi.

« Suite à l'incident du 18 avril, il est clair que l'infrastructure de LayerZero a été exploitée, entraînant 300 millions de dollars de pertes à travers la DeFi », a écrit Kelp DAO sur X. « Des rapports indépendants de SEAL 911, Chainalysis et d'autres chercheurs en sécurité de premier plan pointent tous vers la même origine. »

En avril, une attaque a siphonné environ 116 500 rsETH – un jeton de staking basé sur Ethereum – d'un pont inter-chaînes utilisé par Kelp, un protocole qui permet aux utilisateurs de staker de l'Ethereum et de transférer des jetons entre les blockchains. L'exploit a été lié au groupe Lazarus de la Corée du Nord.

Dans un post séparé sur X, Kelp a déclaré que le personnel de LayerZero avait approuvé la configuration liée à l'exploit et n'avait pas averti qu'elle posait un risque de sécurité. La configuration, connue sous le nom de vérificateur 1-sur-1, repose sur une seule entité pour valider les transactions inter-chaînes.

Kelp a déclaré que l'attaque provenait d'une brèche dans l'infrastructure de LayerZero, où les attaquants ont compromis les nœuds RPC du réseau de vérificateurs et ont forcé le système à s'appuyer sur des données falsifiées, permettant l'approbation de transactions frauduleuses.

« Après l'exploit, LayerZero a annoncé qu'il ne signerait plus ni n'attesterait les messages pour toute application utilisant une configuration DVN 1-1 », a écrit Kelp. « Ce changement de politique, intervenu après que des centaines de millions de dollars aient été exploités, confirme qu'il s'agissait d'une configuration LayerZero largement utilisée que LayerZero Labs n'a modifiée qu'après son échec. »

Dans une déclaration d'avril, LayerZero a contesté ce récit, affirmant que l'exploit était isolé à l'application rsETH de Kelp et résultait de son utilisation d'une configuration à vérificateur unique qui allait à l'encontre du modèle multi-vérificateurs recommandé par la société.

« Ce cadrage ne correspond pas aux faits », a écrit Kelp DAO. « Il est de notoriété publique que cette configuration 1-1 n'était pas propre à Kelp. »

Selon Kelp, elle a suivi la documentation de LayerZero et les configurations par défaut. La société a également déclaré que la configuration était largement utilisée dans l'écosystème, citant des données montrant qu'une grande partie des applications s'appuyaient sur des configurations similaires.

Kelp a déclaré qu'elle déplaçait son système rsETH vers le protocole d'interopérabilité inter-chaînes de Chainlink, où les transactions doivent être approuvées par plusieurs validateurs indépendants au lieu d'un seul vérificateur.

« Nous nous engageons à travailler avec l'équipe de KelpDAO pour améliorer la sécurité inter-chaînes de rsETH et soutenir leur migration vers Chainlink CCIP », a déclaré Johann Eid, directeur commercial de Chainlink, à Decrypt. « Nous croyons depuis longtemps que pour que la DeFi atteigne son plein potentiel en amenant des milliers de milliards on-chain, l'écosystème doit être soutenu par une infrastructure hautement sécurisée. »

L'impact de l'exploit de Kelp s'est étendu au-delà du différend technique. Environ 71 millions de dollars en crypto liés à l'exploit ont été gelés sur le réseau Arbitrum, déclenchant une bataille juridique devant un tribunal fédéral de New York.

« Il y a des questions auxquelles l'écosystème mérite des réponses », a écrit Kelp DAO. « Et nous veillons à ce que rsETH soit sécurisé par une infrastructure qui ne laisse pas ces questions en suspens. »

LayerZero n'a pas immédiatement répondu à une demande de commentaire de Decrypt.