Атака на міст rsETH Kelp DAO вивела $292 млн на тлі суперечки валідаторів LayerZero

Міст rsETH Kelp DAO зазнав порушення безпеки, пов’язаного з інфраструктурою валідаторів LayerZero: за повідомленнями, було виведено $292 млн, а також здійснено ще дві шахрайські транзакції на суму понад $100 млн кожна. Останній звіт стверджує, що нападники, пов’язані з північнокорейською групою Lazarus, скористалися вразливістю в екосистемі LayerZero від 16 квітня, скомпрометувавши два RPC-сервери валідаторів LayerZero Labs, встановивши шкідливе ПЗ та здійснивши DDoS на решту вузлів, щоб перенаправити підписування на фальшиві вузли. LayerZero заявила, що протокол працював як задумано, але додатки, що використовують модель валідатора один-до-одного, були б заблоковані від підпису. Зараз триває великий спір про відповідальність. LayerZero стверджує, що конфігурація Kelp DAO з “one-to-one validator” створила ризик, тоді як Kelp DAO каже, що LayerZero переглядала її конфігурацію в восьми інтеграційних зустрічах протягом 2,5 років і не висловлювала зауважень щодо безпеки. Незалежні дослідники також вказують на публічний код за замовчуванням, який підкреслює небезпеку верифікації з єдиного джерела. Ринкова експозиція не є незначною: Dune Analytics оцінює, що майже 47% з приблизно 2 665 LayerZero OApp використовували валідатори один-до-одного за останні 90 днів, що становить близько $4,5 млрд активів з подібним ризиком. Для трейдерів інцидент із мостом rsETH є короткостроково медвежим для ризикового сентименту в DeFi: ліквідність може замерзнути, TVL може швидко впасти, а премії за ризик мостів/смартконтрактів можуть зрости. У середньостроковій перспективі увага зосереджена на тому, чи постраждалі протоколи швидко мігрують від конфігурацій один-до-одного і стабілізують потоки ліквідності. Kelp DAO планує мігрувати міст rsETH з LayerZero на кросчейн-протокол Chainlink, повністю перейнявши архітектуру Chainlink і поступово відмовляючись від стандартів LayerZero.