LayerZero spotyka się z poważną krytyką za swoje podejście do niedawnego ataku na KelpDAO o wartości 290 milionów dolarów. Protokół omnichainowej interoperacyjności obwinił za incydent zastosowanie przez KelpDAO konfiguracji weryfikatora 1 z 1.
W miniony weekend doszło do ataku na protokół płynnego restakingu KelpDAO, w wyniku którego utracono ponad 290 milionów dolarów w rsETH. Napastnicy wykorzystali lukę w zabezpieczeniach mostu KelpDAO, opartego na technologii LayerZero. Dwa dni później LayerZero odniósł się do incydentu, który stał się największym atakiem hakerskim na DeFi w 2026 roku, tuż po ataku na protokół Drift o wartości 285 milionów dolarów.
LayerZero przypisał "wysoce wyrafinowany atak" grupie Lazarus z Korei Północnej. Określono go jako atak na infrastrukturę kryptowalutową, a nie na wykorzystanie luki w protokole, stwierdzając, że "nie ma żadnego efektu zarażenia dla innych aktywów lub aplikacji cross-chain". Protokół wyjaśnił, że jego system jest zbudowany na modułowych podstawach bezpieczeństwa z wykorzystaniem zdecentralizowanych sieci weryfikatorów (DVN), które są niezależnymi podmiotami weryfikującymi wiadomości cross-chain.
Według LayerZero, napastnicy przejęli kontrolę nad większością RPC (Remote Procedure Calls), na których polegał własny DVN protokołu w celu weryfikacji transakcji. Podobno podmienili pliki binarne, aby fałszować wiadomości, i użyli ataków DDoS, aby zmusić system do korzystania z tych skompromitowanych węzłów, oszukując DVN i powodując potwierdzanie fałszywych transakcji.
Na podstawie tej analizy LayerZero doszedł do wniosku, że odpowiedzialność spoczywa na KelpDAO za wybór konfiguracji z jednym DVN zamiast zalecanej konfiguracji z wieloma DVN. Stwierdzono: "Ten incydent był całkowicie izolowany w konfiguracji rsETH KelpDAO jako bezpośrednia konsekwencja ich konfiguracji z jednym DVN".
Społeczność kryptowalutowa krytykuje "brak odpowiedzialności"
Społeczność kryptowalutowa zareagowała ostro na tę analizę porealizacyjną, krytykując LayerZero za to, co wielu postrzega jako zrzucanie odpowiedzialności na wybory bezpieczeństwa KelpDAO.
Jeden z użytkowników X, Saint, skomentował: "Wyobraźcie sobie, że budujecie most, za przejazd którym pojazdy płacą, most się zawala, a wy mówicie, że to ich wina, że po nim jechały. Klasyczny akt klownady od bandy klaunów bez żadnej odpowiedzialności".
Inni kwestionowali logikę oferowania konfiguracji "1 z 1", jeśli jest ona z natury niebezpieczna. Użytkownik Ditto argumentował: "Jeśli system pozwala na tę opcję, to nie wina klienta, który ją wybrał – to fundamentalna wada projektowa systemu, który na to pozwolił". Dodał: "Koniec końców, faktem pozostaje, że DVN RPC zostało naruszone. DVN jest produktem LayerZero i to oni sprzedali go tym zespołom".
Menadżer społeczności Chainlink, Zach Rynes, oskarżył LayerZero o zrzucanie winy za naruszenie własnego węzła DVN i "wrzucenie KelpDAO pod autobus" za zaufanie do konfiguracji, którą sam LayerZero wspierał i zablokował dopiero po ataku.
Deweloper Yearn Finance, Artem K, zauważył na X, że atak został opisany jako naruszenie węzła RPC, które jest własną infrastrukturą LayerZero. "Biorąc pod uwagę, że nie mówi się, jak doszło do naruszenia, nie spieszyłbym się z ponownym włączaniem mostów" – dodał.
Błędna diagnoza, błędna naprawa?
Analityk The Smart Ape zasugerował, że LayerZero postawił błędną diagnozę i oferuje złe rozwiązanie. W swojej analizie porealizacyjnej LayerZero zalecił, aby wszystkie aplikacje korzystające z konfiguracji DVN 1 z 1 migrowały do konfiguracji z wieloma DVN, aby zapobiec przyszłym atakom.
Jednak analityk twierdzi, że konfiguracje z wieloma weryfikatorami mogą nie powstrzymać kolejnego dużego ataku. Zwraca uwagę, że wiele DVN nadal może zawieść, ponieważ często odczytują stany łańcucha z tej samej małej grupy dostawców RPC, którzy są w większości skoncentrowani na głównych platformach chmurowych, takich jak AWS czy Google Cloud. Jeśli pięciu "niezależnych" weryfikatorów polega na tej samej skompromitowanej infrastrukturze, korzyść bezpieczeństwa jest zniwelowana. Jeśli wszystkie pięć zdecentralizowanych sieci weryfikatorów (DVN) polega na tych samych trzech dostawcach RPC, napastnik, który naruszy te trzy RPC, może jednocześnie oszukać wszystkich pięciu weryfikatorów. Jak wyjaśnił jeden z analityków: "Jeśli wszyscy twoi weryfikatorzy zostaną oszukani w ten sam sposób w tym samym czasie, system skutecznie wraca do modelu 1 z 1. Pięć identycznych kopii nie jest tym samym co pięciu niezależnych świadków".
Aby zaradzić tej podatności, analityk zaleca, aby każdy weryfikator działał na własnym pełnym węźle, korzystając z innego oprogramowania klienckiego, hostowanego u oddzielnych dostawców chmury, zarządzanego przez różne zespoły operacyjne i podłączonego do różnych segmentów sieci Ethereum. "Rozwiązanie nie polega na dodawaniu większej liczby tych samych komponentów. Prawdziwą naprawą jest to, aby weryfikatorzy weryfikowali własną podstawową infrastrukturę, a nie tylko stan łańcucha. Dopóki nie można przeprowadzić audytu konfiguracji nadrzędnej DVN – których dostawców RPC, oprogramowania klienckiego, usług chmurowych i regionów używa – twierdzenia o 'bezpieczeństwie M-z-N' to tylko marketing dla funkcji, która nie została naprawdę wdrożona" – zauważył. "18 kwietnia grupa Lazarus nie złamała kryptografii; skompromitowała trzy serwery".
Często zadawane pytania
FAQ Społeczność kryptowalutowa krytykuje podejście LayerZero do bezpieczeństwa
Pytania poziomu podstawowego
P1 Czym jest LayerZero?
O1 LayerZero to technologia umożliwiająca różnym blockchainom komunikację i wymianę danych między sobą. Często nazywa się ją protokołem interoperacyjności.
P2 Co się stało z opisanym atakiem za 290 mln?
O2 W 2022 roku główny most cross-chain o nazwie Wormhole został zhakowany, tracąc około 320 mln dolarów w kryptowalutach. Ostatnia krytyka odnosi się do tego wydarzenia jako przykładu ostrzegawczego.
P3 Kim lub czym są weryfikatorzy w tym kontekście?
O3 Weryfikatorzy to niezależne podmioty lub oprogramowanie, które sprawdzają i potwierdzają, czy transakcja przenoszona z jednego blockchaina na drugi jest ważna i poprawna. Działają jak strażnicy bezpieczeństwa.
P4 Dlaczego społeczność kryptowalutowa krytykuje LayerZero?
O4 Społeczność obawia się, że plan LayerZero poprawy bezpieczeństwa poprzez zwykłe dodanie większej liczby weryfikatorów może nie wystarczyć, aby zapobiec tak masywnemu atakowi jak incydent z Wormhole. Krytycy twierdzą, że fundamentalny projekt musi być bezpieczniejszy.
P5 Czym jest most cross-chain i dlaczego jest ryzykowny?
O5 Most cross-chain to narzędzie, które pozwala przenosić kryptowaluty lub dane z jednego blockchaina na drugi. Są one często celem hakerów, ponieważ przechowują dużo zamrożonych środków w jednym miejscu, co czyni je atrakcyjnymi "pulami miodu".
Pytania średnio zaawansowane i zaawansowane
P6 Na czym polega główny argument przeciwko samemu dodawaniu większej liczby weryfikatorów?
O6 Argument jest taki, że ilość nie pokonuje automatycznie jakości lub projektu. Jeśli wielu weryfikatorów polega na tym samym wadliwym oprogramowaniu lub założeniach bezpieczeństwa, wszyscy mogą zostać wspólnie skompromitowani. To problem pojedynczego punktu awarii.
P7 Czy istnieją alternatywne modele bezpieczeństwa wobec posiadania większej liczby weryfikatorów?
O7 Tak. Alternatywy obejmują:
Dowody oszustwa (Fraud Proofs): Gdzie każdy może zakwestionować i udowodnić, że transakcja jest nieważna.
Klienty lekkie (Light Clients): Wykorzystujące własne mechanizmy bezpieczeństwa blockchaina do weryfikacji transakcji.
Bezpieczeństwo ekonomiczne / konfiskata (Economic Security/Slashing): Wymaganie od weryfikatorów obstawiania dużych kwot własnych kryptowalut, które tracą, jeśli działają złośliwie.