LayerZero teeb ülevaade $292 miljoni väärtuses KelpDAO rünnakust ja tugevdab sildade turvalisust

LayerZero Labs on avaldanud oma juhtumiaruande KelpDAO sildi rünnaku kohta, öeldes, et rünnakute käigus varastati umbes 292 miljonit dollari eest rsETH-i pärast seda, kui rünnakute teostajad mürgitasid selle verifitseerimisvõrgustiku poolt kasutatava RPC-infrastruktuuri ja sundisid poliitikamuudatusi ühesalastesse allkirjastamiskonfiguratsioonidesse.

LayerZero Labs on avaldanud üksikasjaliku aruande KelpDAO rünnaku kohta ja kinnitanud, et rünnakute teostajad varastasid umbes 116 500 rsETH-i, mille väärtus oli ligikaudu 292 miljonit dollarit, kompromitteerides KelpDAO ristkihiste konfiguratsioonis kasutatava verifitseerimiskihiga seotud allaharuva infrastruktuuri.

Ettevõte ütles, et juhtum piirdus KelpDAO rsETH-i seadistusega, sest rakendus toetas ühe-salastatud (1-of-1) DVN-konfiguratsiooni, kus LayerZero Labs oli ainus verifikaator – selline disain vastas otsestelt LayerZero soovitusele, et rakendused peaksid kasutama mitmekesisemaid mitme-DVN-i seadistusi redundantsusega.

Ülevalt avaldatud avalduses ütles LayerZero, et „ülejäänud ristkihiste varade või rakenduste hulgas ei olnud ühtegi nakkust“, väites, et protokolli modulaarne turvaaegnäituspiirkond piiras purunemisraadiust ka siis, kui üks rakendustasandil olev konfiguratsioon läks katki.

Kuidas rünnak toimus

LayerZero raporti kohaselt suunati 2026. aasta 18. aprillil toimunud rünnak LayerZero Labs DVN-i poolt kasutatava RPC-infrastruktuuri poole mitte LayerZero protokolli, võtmehalduse ega DVN-tarkvara enda vastu.

Ettevõte ütles, et rünnakute teostajad said ligipääsu DVN-i poolt kasutatavate RPC-de nimekirjale, kompromitteerisid kaks erinevates klasterites töötavat sõlme, asendasid op-geth-sõlmede binaarfailid ja kasutasid kurjade koormuste abil valesti kujundatud tehingute andmeid verifikaatorile saatmiseks, samas kui tõelisi andmeid tagastati muudele lõpp-punktidele, sealhulgas sisemistele jälgimisteenustele.

Rünnaku täielikuks sooritamiseks käivitasid rünnakute teostajad ka DDoS-rünnaku kompromitteerimata RPC-lõpp-punktide vastu, mis põhjustas ülemineku mürgitatud sõlmedele ja lubas LayerZero Labs DVN-il kinnitada tehinguid, mis tegelikult kunagi ei toimunud.

Väljastpoolt tehtud forensiline uurimistöö kinnitab üldiselt seda kirjeldust. Chainalysis ütles, et Põhja-Korea Lazarus Groupi ja konkreetsemalt TraderTraitoriga seotud rünnakute teostajad ei ekspluateerinud tarkvarakoodi vigu, vaid lootsid ristkihiste sõnumeid mürgitades sisemisi RPC-sõlmi ja ülekoormades välist sõlmi ühe-punkti-vigade verifitseerimislahenduses.

Turvamuudatused

LayerZero ütles, et kiire reageerimine hõlmas kõigi mõjutatud RPC-sõlmede tühistamist ja asendamist, LayerZero Labs DVN-i taasühendamist töökorras olekusse ning õiguskaitseasutuste kontaktimist, samas kui töötati koos tööstuspartnerite ja Seal911-ga varastatud vahendite jälitamisega.

Tähtsam on, et ettevõte muudab oma käitumist riskantsete konfiguratsioonidega. Avaldises ütles LayerZero, et selle DVN „ei allkirjasta ega kinnita ühtegi sõnumit rakendustest, mis kasutavad 1/1-konfiguratsiooni“, mis on otsene poliitikamuudatus, mille eesmärk on takistada KelpDAO rünnaku tüüpi juhtumite kordumist.

Ettevõte kontakteerub ka projektidega, kes ikka kasutavad 1/1-konfiguratsioone, et aidata neil üle minna mitme-DVN-i mudelitesse redundantsusega – see tunnistab, et konfiguratsioonikõveruse pakkumine ilma kindlustusribadeta oli praktikas liiga lubav.

Seos on ka kindlamaks saanud. Chainalysis seosis rünnaku Põhja-Korea Lazarus Groupiga ja konkreetsemalt TraderTraitoriga, samas kui Nexus Mutual ütles, et valesti kujundatud sõnum viis KelpDAO silla rahaliste vahendite väljavoolu summas 292 miljonit dollarit vähem kui 46 minutis, muutes selle üheks 2026. aasta suurimaks DeFi-kaotuseks.

Tulemus on tuttav, kuid karm õppetund ristkihiste infrastruktuurile: nutikad lepingud võivad säilida terviklikuna, kuid protokoll võib ikka kaotada praktikas, kui väljastpoolt asuv usalduskiht on piisavalt nõrk. LayerZero püüab nüüd tõestada, et 292 miljoni dollari silla varguse õige õppetund pole modulaarse turvaaegnäituspiirkonna läbikukkumine, vaid see, et lubada kellegi kasutada ühesalast allkirjastamisseadistust, oli tegelik viga.