LayerZero Thừa nhận Lỗi trong Thiết lập Chỉ một Bộ Xác minh Sau Vụ Khai thác của Kelp DAO

LayerZero đã xin lỗi công khai về cách xử lý hậu quả của vụ khai thác ngày 18 tháng 4, đã rút cạn khoảng 292 triệu USD giá trị rsETH từ cầu nối cross-chain của Kelp DAO. Lời xin lỗi này đánh dấu một sự thay đổi lớn về giọng điệu so với bài đăng phân tích sự cố trước đó của LayerZero, trong đó mô tả giao thức là “hoạt động đúng như dự định”.

Lời xin lỗi và thừa nhận sai sót

LayerZero thừa nhận một sự cố vận hành nghiêm trọng trong bài blog đăng vào thứ Sáu: “Chúng tôi đã làm quá tệ trong công tác truyền thông trong ba tuần qua. Chúng tôi muốn ưu tiên tính đầy đủ theo hình thức một bản phân tích sự cố toàn diện, nhưng lẽ ra phải đi thẳng vào vấn đề.”

Quan trọng nhất, giao thức thừa nhận rằng họ không nên cho phép Mạng Xác minh phi tập trung (Decentralized Verifier Network, DVN) của mình đóng vai trò là bộ xác minh duy nhất đối với các giao dịch giá trị cao. “Chúng tôi tin rằng các nhà phát triển phải tự chọn cấu hình bảo mật của riêng họ, nhưng chúng tôi đã mắc sai lầm khi cho phép DVN của mình đóng vai trò 1/1 DVN cho các giao dịch giá trị cao,” công ty viết. “Chúng tôi đã không kiểm soát những gì DVN của mình đang bảo vệ, điều đó tạo ra một rủi ro mà chúng tôi đơn giản là không nhìn thấy.”

Đây là một bước ngoặt đáng kể so với tuyên bố ban đầu về sự cố của LayerZero, vốn đổ lỗi thẳng tay cho các lựa chọn cấu hình của Kelp DAO, mô tả việc thiết lập 1-of-1 DVN là quyết định mà Kelp thực hiện trái với hướng dẫn.

Chi tiết kỹ thuật của vụ khai thác

LayerZero cho biết các node nội bộ RPC của họ, nơi DVN dựa vào để đọc trạng thái chuỗi nguồn, đã bị xâm nhập bởi nhóm Lazarus của Triều Tiên. Các kẻ tấn công đã đầu độc các luồng dữ liệu (data feeds) của những node này, đồng thời triển khai một cuộc tấn công DDoS nhằm vào các nhà cung cấp RPC bên ngoài của LayerZero, khiến DVN phải chuyển sang hạ tầng đã bị xâm nhập và ký xác nhận các giao dịch chưa bao giờ thực sự xảy ra. LayerZero trước đó đã quy kết cuộc tấn công cho nhóm Lazarus được biết đến là TraderTraitor.

Tranh chấp của Kelp DAO và bối cảnh ngành

Kelp DAO công khai phản đối lời đổ lỗi ban đầu của LayerZero, chỉ ra tài liệu nội bộ của LayerZero, các hướng dẫn quickstart và ví dụ dành cho nhà phát triển như bằng chứng rằng cấu hình chỉ có một bộ xác minh là khuyến nghị mặc định cho quá trình onboard nền tảng. Một phân tích Dune do Kelp trích dẫn cho thấy 47% trong tổng số khoảng 2.665 hợp đồng đang hoạt động của LayerZero OApp đang chạy cùng cấu hình tại thời điểm xảy ra cuộc tấn công.

LayerZero thừa nhận phạm vi bị ảnh hưởng là có giới hạn: lỗ hổng chỉ nhắm vào một ứng dụng, tương đương khoảng 0,14% tổng số ứng dụng trên mạng và khoảng 0,36% giá trị tài sản sử dụng LayerZero. Hơn 9 tỷ USD đã được chuyển qua giao thức kể từ ngày 19 tháng 4.

Sự cố an ninh của người ký multisig

LayerZero tiết lộ một sự cố an ninh vận hành chưa từng được công bố trước đó. Khoảng ba năm rưỡi trước, một trong các người ký multisig của LayerZero đã dùng ví phần cứng dành cho môi trường sản xuất để thực hiện một giao dịch cá nhân, với ý định dùng một thiết bị cá nhân tách rời. LayerZero cho biết người ký đã bị loại khỏi multisig, các ví đã được xoay (rotate), và từ đó công ty đã bổ sung phần mềm phát hiện bất thường vào từng thiết bị ký.

Thông báo này được đưa ra trong bối cảnh có những đợt giám sát riêng lẻ và đang diễn ra đối với an ninh vận hành của các người ký multisig của LayerZero. Các nhà nghiên cứu onchain và các nhân vật bảo mật, bao gồm người liên lạc cộng đồng Chainlink Zach Rynes, đã nêu ra bằng chứng rằng các khóa multisig ở môi trường sản xuất đã được sử dụng cho các hoạt động DEX không liên quan, trong đó có những gì trông như một giao dịch hoán đổi memecoin McPepes trên Uniswap. CEO của LayerZero là Bryan Pellegrino cho biết đây là các bài kiểm tra OFT của những người ký cũ, những người đã bị loại khỏi hệ thống.

Thay đổi kế hoạch về hạ tầng và bảo mật

LayerZero nêu ra một số thay đổi đã được triển khai kể từ vụ khai thác:

• LayerZero Labs DVN không còn phục vụ các cấu hình 1/1 DVN
• Cài đặt mặc định trên tất cả các tuyến đường đang được chuyển sang yêu cầu ít nhất năm bộ xác minh nếu có thể, với mức sàn là ba trên các chuỗi chỉ có ba DVN sẵn có
• Một client DVN thứ hai viết bằng Rust đang được xây dựng để đa dạng hóa client
• Thiết lập RPC đã được cấu hình lại để cho phép kiểm soát quorum chi tiết hơn trên các nhà cung cấp node nội bộ và bên ngoài

Về phía hạ tầng, LayerZero dự định nâng ngưỡng multisig của chính mình từ 3-of-5 lên 7-of-10 bằng OneSig, một công cụ multisig mã nguồn mở mà công ty giới thiệu vào năm ngoái. OneSig cho phép người ký tải các giao dịch xuống, băm (hash) cục bộ trước khi ký, nhằm ngăn backend chèn các giao dịch trái phép. LayerZero cũng đang xây dựng một nền tảng có tên Console để các đơn vị phát hành tài sản có thể cấu hình và theo dõi các thiết lập bảo mật, kèm phát hiện bất thường tích hợp để gắn cờ các cấu hình rủi ro.

Di chuyển giao thức và áp lực cạnh tranh

Lời xin lỗi xuất hiện vào một thời điểm khó khăn đối với LayerZero. Hai giao thức lớn đã di chuyển hạ tầng cross-chain của họ sang CCIP của Chainlink trong những tuần kể từ sau vụ khai thác. Kelp DAO đã công bố rời đi sớm hơn trong tuần này, trở thành giao thức lớn đầu tiên rời LayerZero kể từ vụ hack. Solv Protocol cũng theo sau, công bố sẽ chuyển hơn 700 triệu USD bitcoin token hóa khỏi LayerZero, viện dẫn các lo ngại về bảo mật.

Nỗ lực khắc phục

Trong khi đó, sáng kiến phục hồi DeFi United được hình thành sau vụ khai thác đã huy động được hơn 300 triệu USD tính bằng ETH và stablecoins. LayerZero đã đóng góp 10.000 ETH, chia thành một khoản quyên góp 5.000 ETH và một khoản vay 5.000 ETH cho Aave, tổ chức đang đối mặt với ước tính từ 124 triệu USD đến 230 triệu USD nợ xấu từ sự cố. Arbitrum DAO đã bỏ phiếu giải phóng 30.766 ETH bị đóng băng cho nỗ lực khắc phục, và một thẩm phán cho phép việc chuyển tiền tiếp tục bất chấp một lệnh cấm/hạn chế từ nạn nhân khủng bố Triều Tiên và các chủ nợ.

LayerZero cho biết một bản phân tích sự cố chính thức sẽ được công bố sau khi các đối tác bảo mật bên ngoài của họ hoàn tất công việc.