LayerZero mengatakan mereka ‘melakukan kesalahan’ dalam eksploitasi Kelp senilai $292 Juta

LayerZero dikatakan pada Jumat malam waktu AS bahwa pihaknya “melakukan kesalahan” dengan mengizinkan infrastruktur verifikasi sendiri untuk mengamankan aset kripto bernilai tinggi dalam konfigurasi yang rentan, menandai perubahan nada yang signifikan setelah berminggu-minggu menyalahkan pengembang Kelp DAO mengalami peretasan senilai $292 juta terkait dengan penyerang Korea Utara.

Pengakuan tersebut menandai pergeseran yang signifikan setelah berminggu-minggu salin-menuduh publik antara LayerZero dan Kelp seputar tanggung jawab atas peretasan April, yang awalnya oleh LayerZero digambarkan sebagai kegagalan konfigurasi tingkat aplikasi oleh Kelp.

“Hal yang paling utama: permintaan maaf yang sudah lama tertunda,” tulis LayerZero dalam sebuah blog yang diterbitkan pada hari Jumat.

LayerZero awalnya menyalahkan Kelp, dengan argumen bahwa protokol tersebut telah memilih konfigurasi “1-of-1” yang berisiko di mana hanya satu jaringan verifier desentralisasi, atau DVN, yang diperlukan untuk menyetujui transfer lintas rantai, menciptakan titik kegagalan tunggal. DVN adalah bagian dari infrastruktur yang memverifikasi apakah suatu transaksi yang memindahkan aset antar blockchain sah.

“Kami membuat kesalahan dengan membiarkan DVN kami berfungsi sebagai 1/1 DVN untuk transaksi bernilai tinggi,” kata perusahaan tersebut. “Kami tidak mengawasi apa yang diamankan oleh DVN kami, yang menciptakan risiko yang sebenarnya tidak kami lihat. Kami bertanggung jawab atas hal itu.”

Untuk mengatasi hal ini, LayerZero Labs menyatakan bahwa DVN-nya tidak akan lagi melayani konfigurasi DVN 1/1. Selain itu, "semua default pada semua jalur sedang bermigrasi ke 5/5 jika memungkinkan dan tidak kurang dari 3/3 pada setiap rantai di mana hanya tersedia 3 DVN," demikian pernyataan dalam blog tersebut.

Jembatan lintas-rantai berfungsi sebagai jalur transfer digital antara jaringan blockchain yang terpisah, namun telah lama menjadi salah satu bagian infrastruktur kripto yang paling rentan.

LayerZero menegaskan bahwa protokol dasarnya tidak dikompromikan dan menegaskan kembali bahwa pengembang pada akhirnya bertanggung jawab untuk mengonfigurasi asumsi keamanan mereka sendiri.

“Protokol LayerZero tetap tidak terpengaruh,” kata perusahaan tersebut, dengan menyatakan bahwa eksploitasi tersebut disebabkan oleh serangan pada infrastruktur RPC internal yang digunakan oleh LayerZero Labs DVN, sementara penyedia RPC eksternal secara bersamaan mengalami serangan distributed denial-of-service.

Selain itu, Layer Zero menyatakan bahwa tiga setengah tahun yang lalu, salah satu penandatangan pada multisig mereka menggunakan dompet perangkat keras multisig mereka untuk melakukan perdagangan pribadi, dengan niat menggunakan dompet perangkat keras pribadi mereka sendiri. Mereka mengambil tindakan terhadap langkah tersebut dan menyatakan, "Ini jelas tidak dapat diterima."

"Penandatangan ini telah dihapus dari multisig, dompet telah diputar ulang, dan sejak saat itu kami telah memperbarui praktik keamanan kami terkait perangkat penandatangan, menambahkan perangkat lunak deteksi anomali terlokalisasi pada setiap perangkat, serta membuat multisig khusus yang disebut OneSig."

Para pesaing, termasuk Chainlink, memanfaatkan dampak tersebut untuk memenangkan bisnis dari protokol yang sedang mempertimbangkan kembali penyedia keamanan mereka.

Kelp telah sudah bergerak jembatan rsETH-nya ke Cross-Chain Interoperability Protocol yang menjadi pesaing dari Chainlink, sementara Solv Protocol mengatakan minggu ini sedang memigrasikan lebih dari $700 juta infrastruktur bitcoin yang ditokenisasi dari LayerZero setelah dilakukan tinjauan keamanan terbaru.