लेयरज़ीरो ने शुक्रवार को 18 अप्रैल के उस हमले से उपजे विवाद को संभालने के लिए सार्वजनिक रूप से माफी मांगी, जिसमें केल्प डीएओ के क्रॉस-चेन ब्रिज से लगभग 292 मिलियन डॉलर के आरएसईटीएच (rsETH) निकाल लिए गए थे। यह लेयरज़ीरो की पिछली पोस्ट-मॉर्टम रिपोर्ट से एक उल्लेखनीय बदलाव है, जिसमें प्रोटोकॉल को "पूरी तरह से इच्छानुसार कार्य करने वाला" बताया गया था।

लेयरज़ीरो ने अपनी ब्लॉग पोस्ट में, जिसे एक्स पर भी साझा किया गया था, लिखा, "हमने पिछले तीन हफ्तों में संचार के मामले में बहुत बुरा काम किया है। हम एक व्यापक पोस्ट-मॉर्टम के रूप में पूर्णता को प्राथमिकता देना चाहते थे, लेकिन हमें सीधे तौर पर बात करनी चाहिए थी।"

प्रोटोकॉल ने कहा कि उसके आंतरिक आरपीसी नोड्स (RPC nodes), जिन पर उसका विकेन्द्रीकृत सत्यापनकर्ता नेटवर्क (DVN) स्रोत-श्रृंखला की स्थिति को पढ़ने के लिए निर्भर था, उत्तरी कोरिया के लाजरस समूह द्वारा समझौता कर लिए गए थे। हमलावरों ने उन नोड्स के डेटा फ़ीड को दूषित कर दिया, साथ ही लेयरज़ीरो के बाहरी आरपीसी प्रदाताओं (RPC providers) के खिलाफ डीडीओएस (DDoS) हमला भी किया, जिससे डीवीएन (DVN) को समझौता किए गए इन्फ्रास्ट्रक्चर पर स्विच करने और उन लेनदेन को मंजूरी देने के लिए मजबूर होना पड़ा जो कभी हुए ही नहीं थे। लेयरज़ीरो ने पहले इस हमले का श्रेय लाजरस के सबग्रुप ट्रेडरट्रैटर (TraderTraitor) को दिया था।

इस पोस्ट में एक बात स्वीकार की गई, जिसका लेयरज़ीरो ने पहले विरोध किया था: उसे अपने डीवीएन (DVN) को उच्च-मूल्य वाले लेनदेन के लिए एकमात्र सत्यापनकर्ता के रूप में कार्य करने की अनुमति नहीं देनी चाहिए थी। कंपनी ने लिखा, "हम मानते हैं कि डेवलपर्स को अपनी सुरक्षा कॉन्फ़िगरेशन चुननी चाहिए, लेकिन हमने अपने डीवीएन (DVN) को उच्च-मूल्य वाले लेनदेन के लिए 1/1 डीवीएन (DVN) के रूप में कार्य करने की अनुमति देकर गलती की। हमने यह निगरानी नहीं की कि हमारा डीवीएन क्या सुरक्षित कर रहा था, जिससे एक ऐसा जोखिम पैदा हुआ जिसे हमने देखा ही नहीं।"

यह रूपरेखा एक महत्वपूर्ण रियायत का प्रतिनिधित्व करती है। लेयरज़ीरो के प्रारंभिक घटना विवरण ने दोष सीधे तौर पर केल्प डीएओ (Kelp DAO) के कॉन्फ़िगरेशन विकल्पों पर मढ़ा था, जिसमें 1-ऑफ-1 डीवीएन (DVN) सेटअप को केल्प (Kelp) द्वारा मार्गदर्शन के खिलाफ लिया गया निर्णय बताया गया था।

केल्प डीएओ (Kelp DAO) ने सार्वजनिक रूप से उस दावे का खंडन किया, लेयरज़ीरो के अपने दस्तावेज़ों, क्विकस्टार्ट गाइड और डेवलपर उदाहरणों का हवाला देते हुए यह बताया कि सिंगल-वेरिफायर (single-verifier) सेटअप प्लेटफॉर्म की डिफ़ॉल्ट ऑनबोर्डिंग (onboarding) सिफारिश थी। केल्प (Kelp) द्वारा उद्धृत एक ड्यून (Dune) विश्लेषण में पाया गया कि हमले के समय लगभग 2,665 सक्रिय लेयरज़ीरो ओऐप (OApp) अनुबंधों में से 47% एक ही कॉन्फ़िगरेशन पर चल रहे थे।

लेयरज़ीरो ने कहा कि इस हमले ने एक एकल एप्लिकेशन को प्रभावित किया, जो नेटवर्क पर कुल एप्लिकेशन का लगभग 0.14% और लेयरज़ीरो का उपयोग करने वाली संपत्तियों के मूल्य का लगभग 0.36% था। इसने आगे कहा कि 19 अप्रैल से प्रोटोकॉल में 9 बिलियन डॉलर से अधिक का लेन-देन हुआ है।

मल्टीसिग हस्ताक्षरकर्ता का खुलासा

ब्लॉग पोस्ट में पहले से अप्रकाशित एक परिचालन सुरक्षा घटना का भी खुलासा हुआ। लगभग साढ़े तीन साल पहले, लेयरज़ीरो के मल्टीसिग (multisig) हस्ताक्षरकर्ताओं में से एक ने अपने व्यक्तिगत व्यापार को निष्पादित करने के लिए अपने उत्पादन हार्डवेयर वॉलेट (production hardware wallet) का उपयोग किया, जिसका उद्देश्य एक अलग व्यक्तिगत डिवाइस का उपयोग करना था। लेयरज़ीरो ने कहा कि हस्ताक्षरकर्ता को मल्टीसिग से हटा दिया गया, वॉलेट घुमाए गए, और कंपनी ने तब से प्रत्येक हस्ताक्षर करने वाले डिवाइस में विसंगति का पता लगाने वाला सॉफ़्टवेयर जोड़ा है।

यह खुलासा लेयरज़ीरो के मल्टीसिग हस्ताक्षरकर्ताओं की परिचालन सुरक्षा पर अलग, चल रही जांच के बीच आया है। ऑनचैन शोधकर्ताओं और सुरक्षा विशेषज्ञों, जिसमें चेनलिंक (Chainlink) समुदाय संपर्क ज़ैक राइन्स (Zach Rynes) भी शामिल थे, ने ऐसे साक्ष्य दिखाए थे कि उत्पादन मल्टीसिग कुंजियों का उपयोग असंबंधित डीईएक्स (DEX) गतिविधि के लिए किया गया था, जिसमें यूनीस्वैप (Uniswap) पर मेमकॉइन मैकपेप्स (McPepes) के लिए एक स्वैप भी शामिल था। लेयरज़ीरो के सीईओ ब्रायन पेलेग्रिनो (Bryan Pellegrino) ने कहा कि ये लेनदेन पूर्व हस्ताक्षरकर्ताओं द्वारा ओएफटी (OFT) परीक्षण थे, जिन्हें तब से हटा दिया गया है।

लेयरज़ीरो माइग्रेशन के बीच बदलावों की योजना बना रहा है

लेयरज़ीरो ने हमले के बाद किए गए बदलावों का एक समूह बताया। लेयरज़ीरो लैब्स डीवीएन (LayerZero Labs DVN) अब 1/1 डीवीएन (DVN) कॉन्फ़िगरेशन को सेवा नहीं देता है। सभी रास्तों पर डिफ़ॉल्ट सेटिंग्स को माइग्रेट किया जा रहा है ताकि जहां संभव हो, कम से कम पांच सत्यापनकर्ताओं की आवश्यकता हो, और उन श्रृंखलाओं पर न्यूनतम तीन सत्यापनकर्ता हों जहां केवल तीन डीवीएन (DVN) उपलब्ध हैं। कंपनी क्लाइंट विविधता के लिए रस्ट (Rust) में लिखा गया दूसरा डीवीएन क्लाइंट भी बना रही है और इसने आंतरिक और बाहरी नोड प्रदाताओं में अधिक विस्तृत कोरम नियंत्रण की अनुमति देने के लिए अपने आरपीसी (RPC) सेटअप को फिर से कॉन्फ़िगर किया है।

इन्फ्रास्ट्रक्चर (infrastructure) के मोर्चे पर, लेयरज़ीरो ने कहा कि वह पिछले साल कंपनी द्वारा पेश किए गए ओपन-सोर्स मल्टीसिग टूल (open-source multisig tool) वनसिग (OneSig) का उपयोग करके अपनी मल्टीसिग थ्रेशोल्ड (multisig threshold) को 3-ऑफ-5 से 7-ऑफ-10 तक बढ़ाने की योजना बना रहा है। वनसिग (OneSig) हस्ताक्षरकर्ताओं को लेनदेन डाउनलोड करने और हस्ताक्षर करने से पहले उन्हें स्थानीय रूप से हैश करने की अनुमति देता है, जिससे बैकएंड को अनधिकृत लेनदेन डालने से रोका जा सके। लेयरज़ीरो ने यह भी कहा कि वह संपत्ति जारीकर्ताओं के लिए सुरक्षा सेटिंग्स को कॉन्फ़िगर और मॉनिटर करने के लिए कंसोल (Console) नामक एक प्लेटफॉर्म बना रहा है, जिसमें जोखिम भरे कॉन्फ़िगरेशन को चिह्नित करने के लिए अंतर्निहित विसंगति का पता लगाने की सुविधा भी है।

यह माफी लेयरज़ीरो के लिए एक कठिन क्षण में आई है। हमले के बाद के हफ्तों में दो प्रमुख प्रोटोकॉल ने अपने क्रॉस-चेन इन्फ्रास्ट्रक्चर को चेनलिंक के सीसीआईपी (Chainlink's CCIP) में माइग्रेट कर दिया है। केल्प डीएओ (Kelp DAO) ने इस सप्ताह की शुरुआत में अपने प्रस्थान की घोषणा की, जो हैक के बाद लेयरज़ीरो छोड़ने वाला पहला प्रमुख प्रोटोकॉल बन गया। सोल्व प्रोटोकॉल (Solv Protocol) ने भी इसका अनुसरण किया, सुरक्षा चिंताओं का हवाला देते हुए घोषणा की कि वह लेयरज़ीरो से 700 मिलियन डॉलर से अधिक मूल्य के टोकनाइज्ड बिटकॉइन (tokenized bitcoin) को स्थानांतरित करेगा।

इस बीच, हमले के बाद बनी डीएफआई यूनाइटेड रिकवरी इनिशिएटिव (DeFi United recovery initiative) ने ईटीएच (ETH) और स्टेबलकॉइन्स (stablecoins) में 300 मिलियन डॉलर से अधिक जुटाए हैं। लेयरज़ीरो ने 10,000 ईटीएच का योगदान दिया, जिसे 5,000 ईटीएच दान और आवे (Aave) को 5,000 ईटीएच ऋण के बीच विभाजित किया गया, जिसे इस घटना से अनुमानित 124 मिलियन डॉलर से 230 मिलियन डॉलर का खराब ऋण (bad debt) का सामना करना पड़ रहा है। आर्बिट्रम डीएओ (Arbitrum DAO) ने 30,766 जमे हुए ईटीएच को रिकवरी के प्रयास के लिए जारी करने के लिए मतदान किया, और एक न्यायाधीश ने शुक्रवार को उत्तरी कोरियाई आतंकवाद पीड़ितों और लेनदारों के प्रतिबंध नोटिस के बावजूद हस्तांतरण जारी रखने की अनुमति दी।

लेयरज़ीरो ने कहा कि एक आधिकारिक पोस्ट-मॉर्टम तब जारी किया जाएगा जब उसके बाहरी सुरक्षा भागीदार अपना काम पूरा कर लेंगे।