LayerZero menyalahkan konfigurasi Kelp atas eksploitasi senilai $290 juta, dan mengaitkannya dengan Lazarus dari Korea Utara

LayerZero menempatkan tanggung jawab atas eksploitasi Kelp DAO senilai $290 juta pada konfigurasi keamanan Kelp sendiri, menyatakan bahwa protokol liquid restaking tersebut menjalankan pengaturan single-verifier yang sebelumnya telah diperingatkan oleh LayerZero.

Serangan tersebut menggunakan vektor baru yang menargetkan lapisan infrastruktur daripada kode protokol apa pun.

Para penyerang, yang oleh LayerZero dengan keyakinan awal diatribusikan kepada Lazarus Group Korea Utara dan subunitnya TraderTraitor, berhasil mengompromikan dua node remote procedure call (RPC) yang digunakan oleh verifier LayerZero untuk mengonfirmasi transaksi lintas rantai.

Node RPC adalah server yang memungkinkan perangkat lunak membaca dan menulis data pada blockchain, dan verifier LayerZero menggunakan kombinasi node internal dan eksternal untuk redundansi.

Para penyerang menukar perangkat lunak biner yang berjalan pada dua dari node tersebut dengan versi berbahaya yang dirancang untuk memberi tahu verifier LayerZero bahwa transaksi palsu telah terjadi, sementara terus melaporkan data yang akurat kepada setiap sistem lain yang melakukan kueri pada node yang sama.

Kebohongan selektif tersebut dirancang untuk menjaga agar serangan tetap tidak terlihat oleh infrastruktur pemantauan LayerZero sendiri, yang melakukan kueri ke RPC yang sama dari alamat IP yang berbeda.

Mengompromikan dua node saja tidak cukup. Verifikator LayerZero juga melakukan kueri ke node RPC eksternal yang tidak dikompromikan, sehingga para penyerang melancarkan serangan distributed denial-of-service pada node tersebut untuk memaksa failover ke node yang telah terinfeksi.

Log lalu lintas yang dibagikan oleh LayerZero menunjukkan DDoS berlangsung antara pukul 10:20 pagi hingga 11:40 pagi Waktu Pasifik pada hari Sabtu. Setelah failover dipicu, node yang terkompromi memberi tahu verifier bahwa pesan lintas-rantai yang valid telah tiba, dan jembatan Kelp melepaskan 116.500 rsETH kepada para penyerang. Perangkat lunak node jahat kemudian menghancurkan dirinya sendiri, menghapus berkas biner dan log lokal.

Serangan tersebut hanya berhasil karena Kelp menjalankan konfigurasi verifier 1-dari-1, yang berarti LayerZero Labs adalah satu-satunya entitas yang memverifikasi pesan masuk dan keluar dari jembatan rsETH.

Daftar periksa integrasi publik LayerZero dan komunikasi langsung kepada Kelp telah merekomendasikan pengaturan multi-verifier dengan redundansi, di mana konsensus di antara beberapa verifier independen diperlukan untuk mengonfirmasi sebuah pesan. Dalam konfigurasi tersebut, keracunan umpan data satu verifier tidak cukup untuk memalsukan pesan yang valid.

"KelpDAO memilih untuk menggunakan konfigurasi 1/1 DVN," tulis LayerZero, menggunakan istilah protokol untuk jaringan verifier terdesentralisasi. "Konfigurasi yang diperkuat dengan baik akan membutuhkan konsensus di antara beberapa DVN independen, sehingga serangan ini menjadi tidak efektif bahkan jika salah satu DVN berhasil dikompromikan."

LayerZero menyatakan telah memastikan tidak ada kontaminasi sama sekali ke aplikasi lain pada protokol tersebut. Setiap token dan aplikasi standar OFT yang menjalankan pengaturan multi-verifier tidak terpengaruh.

Verifier LayerZero Labs telah kembali online, dan perusahaan menyatakan bahwa mereka tidak akan lagi menandatangani pesan untuk aplikasi apa pun yang menjalankan konfigurasi 1-of-1, memaksa migrasi protokol secara menyeluruh dari pengaturan single-verifier.

Perbedaan arsitektural menjadi penting untuk bagaimana DeFi menilai risiko LayerZero ke depannya.

Bug pada tingkat protokol akan berarti setiap token OFT di setiap jaringan berpotensi dalam risiko. Namun, kegagalan konfigurasi oleh satu integrator, dikombinasikan dengan serangan infrastruktur yang ditargetkan, menunjukkan bahwa protokol bekerja sesuai desain dan bahwa pilihan keamanan Kelp, bukan kode LayerZero, yang menciptakan celah tersebut.

Kelp belum memberikan tanggapan secara publik terhadap framing LayerZero atau menjelaskan mengapa mereka mengoperasikan pengaturan verifier 1-of-1 meskipun ada rekomendasi tegas untuk tidak melakukannya.

Kelompok Lazarus telah dikaitkan dengan eksploitasi Protokol Drift pada 1 April dan kini Kelp pada 18 April, yang berarti unit Korea Utara yang sama telah menguras lebih dari $575 juta dari DeFi dalam 18 hari melalui dua vektor serangan yang berbeda secara struktural: rekayasa sosial terhadap penanda tata kelola di Drift dan keracunan infrastruktur RPC di Kelp.

Kelompok ini mengadaptasi strategi mereka lebih cepat daripada protokol DeFi memperkuat pertahanan mereka.