LayerZero afirma ter ‘cometido um erro’ na exploração de $292 milhões na Kelp
Após inicialmente enquadrar a exploração como uma falha de configuração do desenvolvedor, a LayerZero afirmou que “assume” a decisão de permitir que seu próprio verificador assegure transferências de alto valor em uma configuração vulnerável.
- LayerZero reconheceu que “cometeu um erro” ao permitir que sua própria rede de verificadores assegurasse ativos de alto valor em uma configuração arriscada, revertendo semanas de acusações contra a Kelp DAO pelo roubo de US$ 292 milhões ligado a atacantes norte-coreanos.
- A empresa afirmou que seu protocolo não foi comprometido e atribuiu a exploração a um ataque contra a infraestrutura interna de RPC utilizada por sua rede descentralizada de verificadores, ao mesmo tempo em que insistiu que os desenvolvedores continuam responsáveis pelas suas próprias configurações de segurança.
- As consequências estão levando grandes clientes a concorrentes, com a Kelp transferindo sua ponte rsETH para a Chainlink e o Solv Protocol movendo mais de US$ 700 milhões em infraestrutura de bitcoin tokenizado para fora da LayerZero.
LayerZero disse na sexta-feira à noite, horário dos EUA que “cometeu um erro” ao permitir que sua própria infraestrutura de verificação assegurasse ativos cripto de alto valor em uma configuração vulnerável, marcando uma mudança notável no tom após semanas de atribuir culpa aos desenvolvedores Kelp DAO sofre hack de US$ 292 milhões ligado a atacantes norte-coreanos.
A admissão marca uma mudança notável após semanas de acusações públicas entre LayerZero e Kelp sobre a responsabilidade pelo hack de abril, que a LayerZero inicialmente havia enquadrado como uma falha de configuração em nível de aplicativo da Kelp.
“Antes de mais nada: um pedido de desculpas atrasado,” escreveu a LayerZero em um blog publicado na sexta-feira.
A LayerZero inicialmente culpou a Kelp, argumentando que o protocolo havia escolhido uma configuração arriscada “1-de-1” na qual apenas uma única rede descentralizada de verificadores, ou DVN, precisava aprovar transferências entre cadeias, criando um ponto único de falha. Uma DVN faz parte da infraestrutura que verifica se uma transação que movimenta ativos entre blockchains é legítima.
“Cometemos um erro ao permitir que nosso DVN atuasse como um DVN 1/1 para transações de alto valor”, disse a empresa. “Não monitoramos o que nosso DVN estava protegendo, o que criou um risco que simplesmente não enxergamos. Assumimos a responsabilidade por isso.”
Para contornar isso, a LayerZero Labs declarou que seu DVN não atenderá mais configurações 1/1 de DVN. Além disso, "todos os padrões em todos os caminhos estão sendo migrados para 5/5 onde possível e para no mínimo 3/3 em qualquer cadeia onde apenas 3 DVNs estejam disponíveis", afirmou o blog.
As pontes cross-chain funcionam como trilhos digitais de transferência entre redes blockchain que, de outra forma, seriam separadas, mas há muito tempo estão entre os componentes mais vulneráveis da infraestrutura cripto.
LayerZero manteve que seu protocolo subjacente não foi comprometido e reiterou que os desenvolvedores são, em última instância, responsáveis por configurar suas próprias premissas de segurança.
“O protocolo LayerZero permaneceu inalterado,” disse a empresa, atribuindo a exploração a um ataque à infraestrutura interna de RPC usada pelo DVN da LayerZero Labs, enquanto provedores externos de RPC foram simultaneamente alvo de ataques distribuídos de negação de serviço.
Além disso, a Layer Zero afirmou que, há três anos e meio, um dos seus signatários na multisig utilizou sua carteira de hardware multisig para realizar uma operação pessoal, com a intenção de usar sua própria carteira de hardware pessoal. Está tomando medidas contra tais ações e declarou: "Isto obviamente não é aceitável."
"Este signatário foi removido do multisig, as carteiras foram rotacionadas, e desde então atualizamos nossas práticas de segurança em relação aos dispositivos de assinatura, adicionamos software de detecção de anomalias localizado em cada dispositivo e criamos um multisig personalizado chamado OneSig."
Concorrentes, incluindo a Chainlink, estão aproveitando as consequências para conquistar negócios de protocolos que estão reconsiderando seus fornecedores de segurança.
Kelp tem já se moveu sua ponte rsETH para o Protocolo de Interoperabilidade Cross-Chain concorrente da Chainlink, enquanto Solv Protocol afirmou esta semana está migrando mais de US$ 700 milhões em infraestrutura de bitcoin tokenizado para fora da LayerZero após uma nova revisão de segurança.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
CEX trading volumes rose for the first time in five months in June, with spot climbing 15.3% to $1.11T and RWA perpetual volumes surging to a record $311B.
CEX trading volumes rose for the first time in five months in June, with spot climbing 15.3% to $1.11T and RWA perpetual volumes surging to a record $311B.
Por que é importante:
CEX trading volumes rose for the first time in five months in June, with spot climbing 15.3% to $1.11T and RWA perpetual volumes surging to a record $311B.
