פיצוח גשר ה-rsETH של Kelp DAO ישלוף 292 מיליון דולר על רקע סכסוך בין ולידטורים של LayerZero

גשר ה-rsETH של Kelp DAO הותקף בפרצת אבטחה הקשורה לתשתית ולידטורים של LayerZero, עם דיווח על גניבה של 292 מיליון דולר ושתי הודעות שווא נוספות מעל 100 מיליון דולר כל אחת. הדוח האחרון אומר שתוקפים המקושרים לקבוצת Lazarus של צפון קוריאה ניצלו פגיעות באקוסיסטם של LayerZero ב-16 באפריל על ידי פריצה לשתי שרתי RPC של ולידטור ב-LayerZero Labs, התקנת תוכנה זדונית והפעלת מתקפות DDoS על שאר ה-nodes כדי לנתב את החתימה ל-nodes מזויפים. LayerZero הודיעה שהפרוטוקול פעל כמתוכנן, אך אפליקציות המשתמשות במודל ולידטור "אחד-לאחד" יחסם מביצוע חתימות. מתנהל עתה ויכוח גדול לגבי האחריות. LayerZero טוענת שהתצורה של Kelp DAO במודל "אחד-לאחד" יצרה את הסיכון, בעוד Kelp DAO טוענת ש-LayerZero סקרה את התצורה שלה במשך שמונה פגישות אינטגרציה על פני 2.5 שנים ולא העלתה חששות אבטחה. חוקרים בלתי תלויים מצביעים גם על קוד ברירת מחדל ציבורי המדגיש את הסכנה של אימות ממקור יחיד. החשיפה בשוק אינה זניחה: Dune Analytics מעריכה שכמעט 47% מתוך כ-2,665 יישומי LayerZero השתמשו בוולידטורים אחד-לאחד ב-90 הימים האחרונים, המייצגים כ-4.5 מיליארד דולר נכסים בסיכון דומה. בעבור סוחרים, אירוע גשר ה-rsETH הוא קצר טווח דובי לתחושת הסיכון ב-DeFi: נזילות עלולה להקפא, ה-TVL עלול לרדת במהירות, ופרמיות הסיכון של גשרים/חוזים חכמים עלולות להתרחב. במונחים בינוניים, המוקד הוא האם הפרוטוקולים המושפעים ייגרו במהירות מהגדרות ולידטור אחד-לאחד וייצבו את זרימות הנזילות. Kelp DAO מתכננת להעביר את גשר ה-rsETH מ-LayerZero לפרוטוקול החוצה-שרשרת של Chainlink, לאמץ לחלוטין את ארכיטקטורת Chainlink ולהפסקת שימוש בסטנדרטים של LayerZero.