先週金曜日、クロスチェーン通信プロトコルのLayerzero Labsは、KelpDAOの侵害（ブリーチ）の最中に北朝鮮のハッカーによって社内インフラが侵害されると同時にDDoS攻撃も受けたことを明らかにしました。
Layerzero Labsは、Lazarus Groupに関連するセキュリティ侵害の後に発生した3週間にわたる通信停止について、率直な謝罪を発表しました。公式アップデートによると、攻撃者らは、Layerzero Labsの分散検証ネットワーク（DVN）で使われる内部Remote Procedure Calls（RPCs）の「真実の源」を汚染したとのことです。
この高度な攻撃は、同社の外部RPCプロバイダーに対する分散型サービス拒否（DDoS）攻撃とも時期が重なっていました。報告書によれば、その後の被害はエコシステムのごく一部にとどまりました。Layerzeroは、この件の影響は1つのアプリケーションのみで、全アプリの0.14%にあたるほか、プロトコル上でロックされている総額の0.36%に相当すると述べています。
4月19日以降、チームは、包括的な事後検証（ポストモーテム）レポートを確定するために外部のセキュリティパートナーと協力してきたと詳述しました。チームはさらに、高価値取引においてDVNを単独の検証者として機能させてしまった点で重大な見落としがあったことも認めました。Layerzeroはまた、DVNが何を保護していたのかを適切に監視できていなかったため、「単一障害点（シングルポイントオブフェイル）」のリスクが生まれたことも認めています。
これを是正するため、同ラボは現在、開発者に安全な設定について教育しており、今後は1/1のDVN構成には対応しない方針です。今回の開示は、マルチシグ署名者に関する奇妙なセキュリティ上の不備にも触れていました。3年半前に、個人が誤って個人の取引のためにマルチシグのハードウェアウォレットを使用したというものです。
署名者はその後削除され、同社は「Onesig」と呼ばれる独自に構築したマルチシグ・ソリューションを導入しました。Onesigは、ユーザー側でトランザクションをローカルにハッシュ化し、メルクリングすることで、許可されていないバックエンド取引を防ぐよう設計されています。Layerzeroはさらに、Onesigがサポートされるすべてのチェーンにおいて、マルチシグの閾値を3/5から7/10へ引き上げているとも明らかにしました。
この取り組みは、同社が説明するところによれば、将来の国家支援型の脅威に対してプロトコルをより堅牢にするためのより広範な努力の一環です。侵害があったにもかかわらず、プロトコルは、4月19日以降にネットワーク上で90億ドル以上の出来高が動いたと強調しています。Layerzeroは、アプリケーションがエンドツーエンドで自らのセキュリティを所有すべきだという考えに基づいて構築され、そうすることでシステム全体のリスクを回避できると説明しています。
ブログ投稿によれば、このアーキテクチャにより、これまでに合計2600億ドル超の総移転が可能になっているとのことです。今後に向けて、Layerzeroは、開発者がデフォルトに頼るのではなく設定を固定（ピン留め）することを推奨しています。また、リオーグ（再編）がほぼ不可能になる水準までブロック確認数を設定することも提案しています。
チームは現在、クライアントの多様性を促すためにRustで書かれた2つ目のDVNクライアントの開発を進めています。追加のアップグレードとして、より堅牢なRPCクォーラム設定も含まれます。Layerzeroが詳述したところによれば、これによりDVNが内部および外部プロバイダーにまたがって粒度の細かいクォーラムを選択できるようになります。チームはまた、資産発行者がセキュリティを管理し、異常を監視するための統一プラットフォーム「Console」を立ち上げています。
Layerzeroチームは、基盤となるプロトコルがRPCの汚染によって影響を受けなかった点について断固として譲らない姿勢です。彼らは、モジュール式の設計によって、直近のトラフィックにある残りの90億ドルが安全に保たれたと主張しています。Lazarus Groupと結びついた攻撃が明らかになったことは、今日のクロスチェーン・インフラが直面する現実味のある、持続的な脅威を示しています。Layerzeroのメッセージは、いくつかのDeFiプロジェクトがChainlinkのCCIPを活用することを選んだことに続く形です。
今週初め、北朝鮮の外務省（国営メディアKCNAを通じて）は、暗号資産の窃盗やサイバー攻撃との関連を結びつける米国および国際的な主張を退けました。彼らは、これらの告発を「不条理な中傷」「虚偽の情報」「米国による政治的に動機づけられた自国のイメージを損なうための悪質な宣伝活動」だと呼びました。
