KelpDAO dă vina pe LayerZero pentru un exploit de 292 de milioane de dolari și intenționează să se relanseze cu un sistem cross-chain reproiectat pe Chainlink, a anunțat grupul pe X marți.
„Din incidentul din 18 aprilie, este clar că propria infrastructură LayerZero a fost exploatată, rezultând pierderi de 300 de milioane de dolari în întregul ecosistem DeFi”, a scris Kelp DAO pe X. „Rapoartele independente de la SEAL 911, Chainalysis și alți cercetători de securitate de top indică toți aceeași origine.”
În aprilie, un atac a drenat aproximativ 116.500 rsETH — un token de staking bazat pe Ethereum — de la un bridge cross-chain utilizat de Kelp, un protocol care permite utilizatorilor să stakuiască Ethereum și să mute tokenuri între blockchain-uri. Exploit-ul a fost legat de Grupul Lazarus din Coreea de Nord.
Într-o postare separată pe X, Kelp a declarat că personalul LayerZero a aprobat configurația legată de exploit și nu a avertizat că aceasta prezintă un risc de securitate. Configurația, cunoscută sub numele de verificator 1-din-1, se bazează pe o singură entitate pentru a valida tranzacțiile cross-chain.
Kelp a declarat că atacul a provenit dintr-o breșă a infrastructurii LayerZero, unde atacatorii au compromis nodurile RPC ale rețelei de verificatori și au forțat sistemul să se bazeze pe date alterate, permițând aprobarea tranzacțiilor false.
„După exploit, LayerZero a anunțat că nu va mai semna sau atesta mesaje pentru nicio aplicație care utilizează o configurație DVN 1-1”, a scris Kelp. „Această schimbare de politică, făcută după ce sute de milioane de dolari au fost exploatați, confirmă că aceasta a fost o configurație LayerZero utilizată pe scară largă, pe care LayerZero Labs a schimbat-o doar după ce a eșuat.”
Într-o declarație din aprilie, LayerZero a contestat acea relatare, afirmând că exploit-ul a fost izolat la aplicația rsETH a Kelp și a rezultat din utilizarea unui sistem cu un singur verificator, care contravenea modelului multi-verificator recomandat de companie.
„Această încadrare nu corespunde faptelor”, a scris Kelp DAO. „Este un fapt de notorietate publică că această configurație 1-1 nu era unică pentru Kelp.”
Potrivit Kelp, a urmat documentația și configurațiile implicite LayerZero. Compania a mai spus că configurația a fost utilizată pe scară largă în întregul ecosistem, indicând date care arată că o mare parte din aplicații s-au bazat pe configurații similare.
Kelp a declarat că își mută sistemul rsETH către protocolul de interoperabilitate cross-chain al Chainlink, unde tranzacțiile trebuie aprobate de mai mulți validatori independenți în loc de un singur verificator.
"Ne-am angajat să lucrăm cu echipa KelpDAO pentru a îmbunătăți securitatea cross-chain a rsETH și pentru a sprijini migrarea lor către Chainlink CCIP", a declarat Johann Eid, Chief Business Officer la Chainlink, pentru Decrypt. "Am crezut de mult timp că, pentru ca DeFi să-și atingă întregul potențial de a aduce trilioane onchain, ecosistemul trebuie să fie susținut de o infrastructură extrem de sigură."
Impactul exploit-ului Kelp s-a extins dincolo de disputa tehnică. Aproximativ 71 de milioane de dolari în criptomonede legate de exploit au fost blocate în rețeaua Arbitrum, declanșând o dispută legală într-o instanță federală din New York.
„Există întrebări la care ecosistemul merită răspunsuri”, a scris Kelp DAO. „Și ne asigurăm că rsETH este securizat de o infrastructură care nu lasă aceste întrebări deschise.”
LayerZero nu a răspuns imediat unei solicitări de comentarii din partea Decrypt.
