LayerZero pada Jumat mengeluarkan permintaan maaf publik atas penanganannya terhadap dampak eksploitasi 18 April yang menguras sekitar $292 juta rsETH dari jembatan lintas-rantai Kelp DAO, menandai perubahan nada yang signifikan dari laporan pasca-mortem sebelumnya yang menyatakan protokol tersebut "berfungsi persis seperti yang dimaksudkan."

"Kami telah melakukan pekerjaan yang buruk dalam komunikasi selama tiga minggu terakhir," tulis LayerZero dalam postingan blog, yang juga diunggah ke X. "Kami ingin memprioritaskan kelengkapan dalam bentuk post-mortem komprehensif, tetapi seharusnya kami lebih lugas."

Protokol tersebut mengatakan bahwa node RPC internalnya, yang diandalkan oleh Jaringan Verifikator Terdesentralisasi (DVN) untuk membaca status rantai sumber, telah disusupi oleh Lazarus Group Korea Utara. Para penyerang meracuni umpan data node tersebut sambil secara bersamaan meluncurkan serangan DDoS terhadap penyedia RPC eksternal LayerZero, memaksa DVN untuk beralih ke infrastruktur yang disusupi dan menyetujui transaksi yang sebenarnya tidak pernah terjadi. LayerZero sebelumnya mengaitkan serangan itu dengan subkelompok Lazarus yang dikenal sebagai TraderTraitor.

Postingan tersebut mengakui poin yang sebelumnya ditolak LayerZero: seharusnya mereka tidak mengizinkan DVN-nya berfungsi sebagai verifikator tunggal untuk transaksi bernilai tinggi. "Kami percaya pengembang harus memilih konfigurasi keamanan mereka sendiri, tetapi kami melakukan kesalahan dengan mengizinkan DVN kami bertindak sebagai DVN 1/1 untuk transaksi bernilai tinggi," tulis perusahaan itu. "Kami tidak mengawasi apa yang diamankan oleh DVN kami, yang menciptakan risiko yang tidak kami lihat."

Kerangka itu merupakan konsesi yang signifikan. Pernyataan insiden awal LayerZero secara langsung menyalahkan pilihan konfigurasi Kelp DAO, menggambarkan pengaturan DVN 1-dari-1 sebagai keputusan yang dibuat Kelp yang bertentangan dengan panduan.

Kelp DAO secara terbuka membantah narasi itu, menunjuk pada dokumentasi LayerZero sendiri, panduan cepat, dan contoh pengembang sebagai bukti bahwa pengaturan verifikator tunggal adalah rekomendasi onboarding default platform. Analisis Dune yang dikutip oleh Kelp menemukan bahwa 47% dari sekitar 2.665 kontrak OApp LayerZero yang aktif menggunakan konfigurasi yang sama pada saat serangan.

LayerZero mengatakan eksploitasi tersebut memengaruhi satu aplikasi, mewakili sekitar 0,14% dari total aplikasi di jaringan dan sekitar 0,36% dari nilai aset yang menggunakan LayerZero. Ditambahkan bahwa lebih dari $9 miliar telah berpindah di seluruh protokol sejak 19 April.

Pengungkapan penanda tangan multisig

Postingan blog tersebut juga mengungkapkan insiden keamanan operasional yang sebelumnya tidak dilaporkan. Kira-kira tiga setengah tahun yang lalu, salah satu penanda tangan multisig LayerZero menggunakan dompet hardware produksi mereka untuk melakukan perdagangan pribadi, berniat menggunakan perangkat pribadi terpisah. LayerZero mengatakan penanda tangan tersebut telah dihapus dari multisig, dompet-dompet dirotasi, dan perusahaan sejak itu telah menambahkan perangkat lunak deteksi anomali ke setiap perangkat penanda tangan.

Pengungkapan ini muncul di tengah pengawasan terpisah yang berkelanjutan terhadap keamanan operasional penanda tangan multisig LayerZero. Peneliti on-chain dan tokoh keamanan termasuk penghubung komunitas Chainlink Zach Rynes telah menandai bukti bahwa kunci multisig produksi digunakan untuk aktivitas DEX yang tidak terkait, termasuk apa yang tampak seperti pertukaran memecoin McPepes di Uniswap. CEO LayerZero Bryan Pellegrino mengatakan transaksi tersebut adalah pengujian OFT oleh mantan penanda tangan yang sejak itu telah dihapus. 

LayerZero merencanakan perubahan di tengah migrasi

LayerZero menguraikan serangkaian perubahan yang telah dilakukannya sejak eksploitasi. DVN LayerZero Labs tidak lagi melayani konfigurasi DVN 1/1. Pengaturan default pada semua jalur sedang dimigrasikan untuk memerlukan setidaknya lima verifikator jika memungkinkan, dengan batas minimum tiga pada rantai di mana hanya tiga DVN yang tersedia. Perusahaan juga sedang membangun klien DVN kedua yang ditulis dalam Rust untuk diversitas klien dan telah mengkonfigurasi ulang pengaturan RPC-nya untuk memungkinkan kontrol kuorum yang lebih terperinci di seluruh penyedia node internal dan eksternal.

Di sisi infrastruktur, LayerZero mengatakan berencana untuk menaikkan ambang multisig-nya sendiri dari 3-dari-5 menjadi 7-dari-10 menggunakan OneSig, alat multisig open-source yang diperkenalkan perusahaan tahun lalu. OneSig memungkinkan penanda tangan untuk mengunduh transaksi dan melakukan hashing secara lokal sebelum menandatangani, mencegah backend menyisipkan transaksi yang tidak sah. LayerZero juga mengatakan sedang membangun platform bernama Console untuk penerbit aset untuk mengkonfigurasi dan memantau pengaturan keamanan, dengan deteksi anomali bawaan untuk menandai konfigurasi yang berisiko.

Permintaan maaf ini datang pada saat yang sulit bagi LayerZero. Dua protokol besar telah memigrasikan infrastruktur lintas-rantai mereka ke CCIP Chainlink dalam beberapa minggu sejak eksploitasi. Kelp DAO mengumumkan kepergiannya awal pekan ini, menjadi protokol besar pertama yang meninggalkan LayerZero sejak peretasan tersebut. Solv Protocol menyusul, mengumumkan akan memindahkan lebih dari $700 juta bitcoin yang di-tokenisasi dari LayerZero, dengan alasan masalah keamanan.

Sementara itu, inisiatif pemulihan DeFi United yang dibentuk setelah eksploitasi telah mengumpulkan lebih dari $300 juta dalam bentuk ETH dan stablecoin. LayerZero menyumbangkan 10.000 ETH, dibagi antara donasi 5.000 ETH dan pinjaman 5.000 ETH kepada Aave, yang menghadapi perkiraan $124 juta hingga $230 juta dalam bentuk piutang tak tertagih dari insiden tersebut. DAO Arbitrum memilih untuk melepaskan 30.766 ETH yang dibekukan untuk upaya pemulihan, dan seorang hakim pada hari Jumat mengizinkan transfer untuk dilanjutkan meskipun ada pemberitahuan pembatasan dari korban terorisme dan kreditur Korea Utara. 

LayerZero mengatakan post-mortem resmi akan menyusul setelah mitra keamanan eksternalnya menyelesaikan pekerjaan mereka.