LayerZero wijst de configuratie van Kelp aan als oorzaak van de $290 miljoen exploit en wijt deze aan Lazarus uit Noord-Korea

LayerZero heeft de verantwoordelijkheid voor de $290 miljoen Kelp DAO-exploit neergelegd bij de eigen beveiligingsconfiguratie van Kelp, en verklaarde dat het liquid restaking-protocol een single-verifier opzet hanteerde waartegen LayerZero eerder had gewaarschuwd.

De aanval maakte gebruik van een nieuwe vector die zich richtte op de infrastructuurlaag in plaats van op de protocolcode.

Aanvallers, die LayerZero met voorlopige zekerheid toeschreef aan de Lazarus-groep uit Noord-Korea en haar subunit TraderTraitor, hebben twee van de remote procedure call (RPC)-nodes gecompromitteerd waarop de verifier van LayerZero vertrouwde om cross-chain transacties te bevestigen.

RPC-nodes zijn de servers die software in staat stellen om gegevens op een blockchain te lezen en te schrijven, en de verifier van LayerZero gebruikte een mix van interne en externe nodes voor redundantie.

De aanvallers hebben de binaire software die op twee van die nodes draaide, vervangen door kwaadaardige versies die ontworpen waren om de verifier van LayerZero te vertellen dat er een frauduleuze transactie had plaatsgevonden, terwijl ze tegelijkertijd nauwkeurige gegevens bleven rapporteren aan elk ander systeem dat dezelfde nodes bevrraagd.

Die selectieve leugen was gecreëerd om de aanval onzichtbaar te houden voor de eigen monitoringsinfrastructuur van LayerZero, die dezelfde RPC's vanuit verschillende IP-adressen bevraagt.

Het compromitteren van twee nodes was niet voldoende. De verifier van LayerZero vond het ook nodig om onbeïnvloede externe RPC-nodes te raadplegen, waardoor de aanvallers een gedistribueerde denial-of-service-aanval uitvoerden op deze nodes om failover af te dwingen naar de besmette nodes.

Verkeerslogboeken die LayerZero deelde laten zien dat de DDoS plaatsvond tussen 10:20 uur en 11:40 uur Pacific Time op zaterdag. Zodra de failover werd geactiveerd, gaven de gecompromitteerde nodes aan de verifier door dat er een geldig cross-chain bericht was aangekomen, waarna Kelp's bridge 116.500 rsETH aan de aanvallers vrijgaf. De kwaadaardige node-software vernietigde zichzelf vervolgens, waarbij binaire bestanden en lokale logboeken werden gewist.

De aanval was alleen mogelijk omdat Kelp een 1-uit-1 verifierconfiguratie draaide, wat betekent dat LayerZero Labs de enige entiteit was die berichten naar en van de rsETH-brug verifieerde.

LayerZero's openbare integratielijst en directe communicatie met Kelp hadden een multi-verifier opstelling met redundantie aanbevolen, waarbij consensus tussen verschillende onafhankelijke verifiers vereist zou zijn om een bericht te bevestigen. Onder die configuratie zou het vergiftigen van de gegevensfeed van één verifier niet voldoende zijn geweest om een geldig bericht te vervalsen.

"KelpDAO koos ervoor om een 1/1 DVN-configuratie te gebruiken," schreef LayerZero, waarbij gebruik werd gemaakt van de term van het protocol voor gedecentraliseerde verifier-netwerken. "Een correct geharde configuratie zou consensus vereist hebben over meerdere onafhankelijke DVN's, waardoor deze aanval zelfs in het geval van compromittering van een enkele DVN effectief ongedaan zou zijn gemaakt."

LayerZero heeft bevestigd dat er geen besmetting is opgetreden bij andere applicaties op het protocol. Elke OFT-standaardtoken en applicatie die multi-verifier configuraties gebruikt, bleef onaangetast.

De LayerZero Labs-verificator is weer online, en het bedrijf gaf aan dat het geen berichten meer zal ondertekenen voor toepassingen die een 1-uit-1 configuratie gebruiken, wat een protocolbrede migratie van single-verifier instellingen afdwingt.

Het architectonische verschil is van belang voor hoe DeFi de risico's van LayerZero in de toekomst prijst.

Een bug op protocolniveau zou hebben betekend dat elk OFT-token op elke keten potentieel gevaar liep. Echter, een configuratiefout door een enkele integrator, gecombineerd met een gerichte infrastructuuraanval, impliceert dat het protocol werkte zoals ontworpen en dat de beveiligingskeuzes van Kelp, en niet de code van LayerZero, de kwetsbaarheid hebben veroorzaakt.

Kelp heeft nog niet publiekelijk gereageerd op de positionering van LayerZero of toegelicht waarom het een 1-op-1 verifier-opstelling heeft gebruikt, ondanks de expliciete aanbevelingen om dit niet te doen.

Lazarus Group is in verband gebracht met de exploit van het Drift Protocol op 1 april en nu met Kelp op 18 april, wat betekent dat dezelfde Noord-Koreaanse eenheid in 18 dagen meer dan $575 miljoen heeft ontvreemd uit DeFi via twee structureel verschillende aanvalsvectoren: social engineering van governance-ondertekenaars bij Drift en het vergiftigen van infrastructuur RPC's bij Kelp.

De groep past haar strategie sneller aan dan DeFi-protocollen hun verdedigingsmechanismen versterken.