LayerZero on kohdannut merkittävää vastustusta 290 miljoonan dollarin KelpDAO-hyökkäyksen käsittelytavastaan. Omnikanavainen yhteentoimivuusprotokolla on syyttänyt tapahtumasta KelpDAOn käyttämää 1/1-vahvistinmääritystä.
Viikonloppuna nestemäistä uudelleenasettamisprotokollaa KelpDAO:ta vastaan hyökättiin, mikä johti yli 290 miljoonan dollarin arvosta rsETH:ta menetykseen. Hyökkääjät hyödynsät haavoittuvuutta protokollan LayerZero-käyttöisessä sillassa. Kaksi päivää myöhemmin LayerZero käsitteli tapahtumaa, joka on vuoden 2026 suurin DeFi-hakkerointi Drift Protocollan 285 miljoonan dollarin hyökkäyksen jälkeen.
LayerZero määritteli "erittäin kehittyneen hyökkäyksen" Pohjois-Korean Lazarus-ryhmän tekemäksi. He kuvailivat sitä kryptoinfrastruktuurin hyökkäykseksi protokollahyökkäyksen sijaan ja totesivat, että "mikään muu ristiketjuvarallisuus tai sovellus ei ole altistunut". Protokolla selitti, että sen järjestelmä perustuu modulaariseen turvallisuusperustaan, jossa käytetään hajautettuja vahvistinverkkoja (DVN), jotka ovat riippumattomia tahoja ristiketjuviesien vahvistajia.
LayerZeron mukaan hyökkääjät vaaransivat suurimman osan RPC:istä (Remote Procedure Calls), joihin sen oma DVN luotti tapahtumien vahvistamisessa. Heidän väitetään vaihtaneen binääritiedostoja väärentääkseen viestejä ja käyttäneen DDoS-hyökkäyksiä pakottaakseen järjestelmän käyttämään näitä vaarantuneita solmuja, huijaten DVN:n vahvistamaan vääriä tapahtumia.
Tämän analyysin perusteella LayerZero totesi vastuun olevan KelpDAOn, joka valitsi yhden DVN:n asetelman suositellun monen DVN:n määrityksen sijaan. He totesivat: "Tämä tapaus oli täysin eristetty KelpDAOn rsETH-määritykseen suorana seurauksena heidän yhden DVN:n asetelmastaan."
Kryptoyhteisö arvostelee "vastuun puutetta"
Kryptoyhteisö on reagoinut voimakkaasti tähän jälkianalyysiin, arvostellen LayerZeroa siitä, mitä monet pitävät vastuun siirtämisenä KelpDAOn turvallisuusvalinnoille.
Yksi X-käyttäjä, Saint, kommentoi: "Kuvittele rakentavasi sillan, jota ajoneuvot maksavat ylittääkseen, silta romahtaa ja sanot, että se on heidän vikansa ylittää silta. Klassinen klovninäytös joukolta klovneja, joilla ei ole minkäänlaista vastuuta."
Toiset kyseenalaistivat logiikan tarjota "1/1"-määritystä, jos se on luonnostaan epäturvallinen. Käyttäjä Ditto väitti: "Jos järjestelmä sallii tämän vaihtoehdon, se ei ole asiakkaan vika, joka sen valitsi – se on perustavanlaatuinen suunnitteluvirhe järjestelmässä, joka sen salli." Hän lisäsi: "Loppujen lopuksi tosiasia pysyy, että DVN RPC vaarantui. DVN on LayerZeron tuote, ja he ovat niitä, jotka myivät sen näille tiimeille."
Chainlinkin yhteisönjohtaja Zach Rynes syytti LayerZeroa siirtävän syytä omasta DVN-solmustaan ja "heittävän KelpDAOn bussin alle" luottamasta asetelmaan, jota LayerZero itse tuki ja esti vasta hakkeroinnin jälkeen.
Yearn Financen kehittäjä Artem K totesi X:ssä, että hyökkäystä kuvattiin RPC-solmun vaarantumisena, joka on LayerZeron omaa infrastruktuuria. "Koska ei kerrota, miten murto tapahtui, en kiirehtisi siltien uudelleenkäyttöönotossa", hän lisäsi.
Väärä diagnoosi, väärä korjaus?
Analyytikko The Smart Ape on esittänyt, että LayerZero teki väärän diagnoosin ja tarjoaa väärän ratkaisun. Jälkianalyysissään LayerZero suositteli, että kaikki 1/1 DVN-määritystä käyttävät sovellukset siirtyisivät monen DVN:n asetelmiin estääkseen tulevia hyökkäyksiä.
Kuitenkin analyytikko väittää, että monen vahvistajan asetelmat eivät välttämättä pysäytä seuraavaa suurta hyökkäystä. Hän huomauttaa, että useat DVN:t voisivat edelleen epäonnistua, koska ne usein lukevat ketjutiloja samasta pienestä ryhmästä RPC-palveluntarjoajia, jotka ovat suurimmaksi osaksi keskittyneitä suurille pilvialustoille kuten AWS tai Google Cloud. Jos viisi "riippumatonta" vahvistajaa kaikki luottavat samaan vaarantuneeseen infrastruktuuriin, turvallisuushyöty mitätöityy. Jos kaikki viisi hajautettua vahvistinverkkoa (DVN) luottavat samoihin kolmeen RPC-palveluntarjoajaan, hyökkääjä, joka vaarantaa nuo kolme RPC:tä, voi samanaikaisesti huijata kaikkia viittä vahvistajaa. Kuten yksi analyytikko selitti: "Jos kaikki vahvistajasi huijataan samalla tavalla samaan aikaan, järjestelmä palaa käytännössä 1/1-malliin. Viisi identtistä kopiota eivät ole sama asia kuin viisi riippumatonta todistajaa."
Tämän haavoittuvuuden ratkaisemiseksi analyytikko suosittelee, että jokainen vahvistaja käyttäisi omaa täyttä solmuaan eri asiakasohjelmistoa käyttäen, isännöitynä erillisillä pilvipalveluntarjoajilla, hallittuna erillisillä operatiivisilla tiimeillä ja yhdistettynä eri osiin Ethereum-verkosta. "Ratkaisu ei ole lisätä enemmän samoja komponentteja. Todellinen korjaus on, että vahvistajat validoivat oman taustalla olevan infrastruktuurinsa, eivät vain ketjutilan. Ennen kuin voit tarkastaa DVN:n ylävirran asetuksen – mitä RPC-palveluntarjoajia, asiakasohjelmistoa, pilvipalveluja ja alueita se käyttää – väitteet 'M-of-N-turvallisuudesta' ovat vain markkinointia ominaisuudesta, jota ei ole todella toteutettu", hän totesi. "18. huhtikuuta Lazarus-ryhmä ei murtautunut kryptografiaan; he vaaransivat kolme palvelinta."
Usein Kysytyt Kysymykset
UKK Kryptoyhteisö arvostelee LayerZeron turvallisuuslähestymistapaa
Aloittelijatason kysymykset
K1 Mikä on LayerZero
V1 LayerZero on tekniikka, joka mahdollistaa eri lohkoketjujen kommunikoida ja jakaa dataa keskenään. Sitä kutsutaan usein yhteentoimivuusprotokollaksi.
K2 Mitä tapahtui mainitussa 290 miljoonan dollarin hakkeroinnissa
V2 Vuonna 2022 suurta ristiketjusiltaa nimeltä Wormhole hakkeroitiin noin 320 miljoonan dollarin arvosta kryptovaluuttaa. Viimeaikainen kritiikki viittaa tähän tapahtumaan varoittavana esimerkkinä.
K3 Mitä ovat vahvistajat tässä yhteydessä
V3 Vahvistajat ovat riippumattomia tahoja tai ohjelmistoja, jotka tarkistavat ja vahvistavat, että tapahtuma, joka siirtyy yhdestä lohkoketjusta toiseen, on pätevä ja oikea. Ne toimivat turvallisuuden valvojina.
K4 Miksi kryptoyhteisö arvostelee LayerZeroa
V4 Yhteisö on huolissaan siitä, että LayerZeron suunnitelma parantaa turvallisuutta yksinkertaisesti lisäämällä enemmän vahvistajia ei välttämättä riitä estämään massiivista hakkerointia kuten Wormhole-tapahtumassa. Kriitikot väittävät, että perustavanlaatuinen suunnittelu tarvitsee olla turvallisempi.
K5 Mikä on ristiketjusilta ja miksi se on riskialtis
V5 Ristiketjusilta on työkalu, jonka avulla voit siirtää kryptovaluuttoja tai dataa yhdestä lohkoketjusta toiseen. Ne ovat usein hakkerien kohteita, koska ne pitävät hallussaan paljon lukittuja varoja yhdessä paikassa, mikä tekee niistä houkuttelevia hunajapurkkeja.
Keskitasoiset ja edistyneet kysymykset
K6 Mikä on keskeinen argumentti pelkästään lisää vahvistajia vastaan
V6 Argumentti on, että määrä ei automaattisesti voita laatua tai suunnittelua. Jos useat vahvistajat luottavat samaan vialliseen ohjelmistoon tai turvallisuusoletuksiin, ne kaikki voidaan vaarantaa yhdessä. Se on yksittäinen epäonnistumispiste -ongelma.
K7 Onko vaihtoehtoisia turvallisuusmalleja kuin useammat vahvistajat
V7 Kyllä. Vaihtoehtoja sisältävät:
Petosvahvistukset: Missä kuka tahansa voi haastaa ja todistaa tapahtuman olevan virheellinen.
Kevyet asiakkaat: Käyttäen lohkoketjun omia turvallisuusmekanismeja tapahtumien vahvistamiseen.
Taloudellinen turvallisuus/leikkaus: Vaativat vahvistajia panostamaan suuria määriä omaa kryptovaluuttaansa, jonka he menettävät, jos toimivat pahantahtoisesti.