LayerZero a emis vineri o scuză publică pentru modul în care a gestionat consecințele exploit-ului din 18 aprilie, care a drenat aproximativ 292 de milioane de dolari în rsETH din bridge-ul cross-chain al Kelp DAO, marcând o schimbare notabilă de ton față de analiza post-mortem anterioară care caracteriza protocolul ca fiind „funcțional exact așa cum a fost intenționat”.

„Am făcut o treabă îngrozitoare în comunicare în ultimele trei săptămâni”, a scris LayerZero în postarea de pe blog, distribuită și pe X. „Am vrut să prioritizăm exhaustivitatea sub forma unei analize post-mortem cuprinzătoare, dar ar fi trebuit să începem cu sinceritate.”

Protocolul a declarat că nodurile sale RPC interne, pe care Rețeaua sa Descentralizată de Verificatori (DVN) se baza pentru a citi starea lanțului sursă, au fost compromise de Grupul Lazarus din Coreea de Nord. Atacatorii au otrăvit fluxurile de date ale acelor noduri, lansând simultan un atac DDoS împotriva furnizorilor RPC externi ai LayerZero, forțând DVN-ul să treacă la infrastructura compromisă și să aprobe tranzacții care nu au avut loc niciodată. LayerZero atribuise anterior atacul subgrupului Lazarus cunoscut sub numele de TraderTraitor.

Postarea a recunoscut un aspect căruia LayerZero i se opunea anterior: nu ar fi trebuit să permită DVN-ului său să servească drept singurul verificator pentru tranzacțiile de mare valoare. „Credem că dezvoltatorii ar trebui să-și aleagă propriile configurații de securitate, dar am făcut o greșeală permițând DVN-ului nostru să acționeze ca un DVN 1/1 pentru tranzacții de mare valoare”, a scris compania. „Nu am supravegheat ce securiza DVN-ul nostru, ceea ce a creat un risc pe care pur și simplu nu l-am văzut.”

Această formulare reprezintă o concesie semnificativă. Declarația inițială a incidentului a LayerZero a pus vina direct pe alegerile de configurare ale Kelp DAO, descriind configurația DVN 1-din-1 ca o decizie luată de Kelp împotriva recomandărilor.

Kelp DAO a contestat public această afirmație, indicând propria documentație a LayerZero, ghidurile de pornire rapidă și exemplele pentru dezvoltatori ca dovadă că setarea cu un singur verificator era recomandarea implicită de integrare a platformei. O analiză Dune citată de Kelp a constatat că 47% din aproximativ 2.665 de contracte LayerZero OApp active rulau aceeași configurație la momentul atacului.

LayerZero a declarat că exploit-ul a afectat o singură aplicație, reprezentând aproximativ 0,14% din totalul aplicațiilor din rețea și aproximativ 0,36% din valoarea activelor care utilizează LayerZero. A adăugat că peste 9 miliarde de dolari s-au mutat prin protocol de la 19 aprilie.

Dezvăluire privind semnatarul multisig

Postarea de pe blog a dezvăluit, de asemenea, un incident de securitate operațională, neraportat anterior. În urmă cu aproximativ trei ani și jumătate, unul dintre semnatarii multisig ai LayerZero și-a folosit portofelul hardware de producție pentru a executa o tranzacție personală, intenționând să utilizeze un dispozitiv personal separat. LayerZero a declarat că semnatarul a fost eliminat din multisig, portofelele au fost rotite, iar compania a adăugat de atunci software de detectare a anomaliilor la fiecare dispozitiv de semnare.

Dezvăluirea vine pe fondul unei examinări separate și continue a securității operaționale a semnatarilor multisig ai LayerZero. Cercetători onchain și personalități din domeniul securității, inclusiv Zach Rynes, responsabilul de legătură al comunității Chainlink, au semnalat dovezi că cheile multisig de producție au fost utilizate pentru activități DEX fără legătură, inclusiv ceea ce părea a fi un swap pentru memecoin-ul McPepes pe Uniswap. CEO-ul LayerZero, Bryan Pellegrino, a declarat că tranzacțiile au fost teste OFT efectuate de foști semnatari care au fost de atunci eliminați.

LayerZero planifică modificări pe fondul migrațiilor

LayerZero a prezentat o serie de modificări pe care le-a făcut de la exploit. DVN-ul LayerZero Labs nu mai deservește configurații DVN 1/1. Setările implicite pe toate căile sunt migrate pentru a necesita cel puțin cinci verificatori acolo unde este posibil, cu un minim de trei pe lanțurile unde sunt disponibili doar trei DVN-uri. Compania construiește, de asemenea, un al doilea client DVN scris în Rust pentru diversitatea clienților și și-a reconfigurat setarea RPC pentru a permite controale de cvorum mai granulare între furnizorii de noduri interni și externi.

Pe partea de infrastructură, LayerZero a declarat că intenționează să-și mărească pragul multisig de la 3 din 5 la 7 din 10 folosind OneSig, un instrument multisig open-source introdus de companie anul trecut. OneSig permite semnatarilor să descarce tranzacțiile și să le hash-uiască local înainte de semnare, împiedicând backend-ul să insereze tranzacții neautorizate. LayerZero a mai declarat că construiește o platformă numită Console pentru emitenții de active, pentru a configura și monitoriza setările de securitate, cu detecție a anomaliilor încorporată pentru semnalarea configurațiilor riscante.

Scuza vine într-un moment dificil pentru LayerZero. Două protocoale majore și-au migrat infrastructura cross-chain către CCIP-ul Chainlink în săptămânile de la exploit. Kelp DAO și-a anunțat plecarea la începutul acestei săptămâni, devenind primul protocol major care a părăsit LayerZero de la hack. Solv Protocol a urmat, anunțând că va muta peste 700 de milioane de dolari în bitcoin tokenizat de pe LayerZero, citând preocupări de securitate.

Între timp, inițiativa de recuperare DeFi United, formată în urma exploit-ului, a strâns peste 300 de milioane de dolari în ETH și stablecoins. LayerZero a contribuit cu 10.000 ETH, împărțiți între o donație de 5.000 ETH și un împrumut de 5.000 ETH către Aave, care se confruntă cu o datorie estimată între 124 și 230 de milioane de dolari din cauza incidentului. Arbitrum DAO a votat pentru eliberarea a 30.766 ETH blocați pentru efortul de recuperare, iar un judecător a permis vineri continuarea transferului, în ciuda unei notificări de restricție din partea victimelor terorismului din Coreea de Nord și a creditorilor.

LayerZero a declarat că o analiză post-mortem oficială va urma odată ce partenerii săi externi de securitate își vor încheia activitatea.