LayerZero заявила, що угруповання Lazarus з Північної Кореї є ймовірним виконавцем експлойту Kelp DAO, який призвів до викрадення 116 500 rsETH на суму близько 292 мільйонів доларів. 

Компанія заявила, що ранні ознаки вказують на «висококваліфікованого державного актора» та назвала «групу Lazarus КНДР, зокрема TraderTraitor» у своїй останній заяві.

Атака відбулася 18 квітня і швидко стала найбільшим експлойтом DeFi, зафіксованим цього року. LayerZero заявила, що зловмисник націлився на систему, яка використовується для перевірки міжмережевих повідомлень, що дозволило хибному повідомленню пройти та розблокувати токени на мосту.

Атака зосередилася на доступі до вузлів та підробці повідомлень

LayerZero заявила, що зловмисник отримав доступ до списку RPC-вузлів, які використовуються децентралізованою верифікованою мережею LayerZero Labs, або DVN. За даними компанії, зловмисник потім заразив два з цих вузлів, щоб вони доставили підроблене міжмережеве повідомлення до мережі верифікаторів.

Водночас зловмисник розпочав DDoS-атаку на «чисті» вузли, що змусило DVN покладатися на заражені вузли. LayerZero заявила, що ця комбінація дозволила підробленому повідомленню пройти через систему та спричинити розблокування токенів, що призвело до втрати.

Крім того, LayerZero заявила, що збитки стали можливими через те, що Kelp DAO використовувала єдину конфігурацію DVN «1-з-1» без резервного верифікатора. Компанія заявила, що це створило єдину точку відмови, не залишивши незалежної перевірки для відхилення фальшивого повідомлення до того, як міст випустить кошти.

У своїй заяві LayerZero зазначила: «Використання конфігурації з єдиною точкою відмови означало відсутність незалежного верифікатора для виявлення та відхилення підробленого повідомлення». Також було зазначено, що «LayerZero та інші зовнішні сторони раніше повідомляли KelpDAO про найкращі практики диверсифікації DVN». Компанія додала, що більше не буде підписувати повідомлення для додатків, які використовують конфігурацію DVN 1/1.

Відтік коштів з Aave та тиск на DeFi після експлойту

Експлойт спричинив напругу в усьому DeFi після того, як зловмисник перемістив викрадені rsETH до Aave V3 і використав їх як заставу для позики великих обсягів WETH. Це викликало занепокоєння щодо можливих проблемних боргів на Aave і спонукало протокол заморозити ринки rsETH як на V3, так і на V4.

Засновник Aave Стані Кулехов заявив: «RsETH був заморожений на Aave V3 і V4» і додав, що актив більше не має позикової спроможності через експлойт моста Kelp DAO. Історичні дані Aavescan показали, що після атаки з Aave було виведено понад 10 мільярдів доларів, при цьому загальний обсяг наданих коштів впав до 35,7 мільярда доларів з 45,8 мільярда доларів.

Наслідки поширилися за межі Aave. Кілька DeFi-протоколів, включаючи Ethena, ether.fi, Tron DAO та Curve Finance, призупинили роботу мостів LayerZero OFT як запобіжний захід. 

Дані DefiLlama показали, що загальна заблокована вартість (TVL) у DeFi впала на 7% за 24 години до близько 86,3 мільярда доларів, знизившись з 99,5 мільярда доларів 18 квітня. LayerZero заявила, що «нульове зараження» для інших активів або додатків, що використовують багато-DVN конфігурації, відсутнє, тоді як зусилля правоохоронних органів щодо відстеження коштів тривають.