LayerZero räumt Fehler bei 292-Mio-$-Kelp-DAO-Exploit ein

LayerZero erklärte am späten Freitag US-Zeit, das Unternehmen habe einen „Fehler gemacht", indem es seine eigene Verifier-Infrastruktur hochwertige Krypto-Assets in einer anfälligen Konfiguration absichern ließ. Damit rückte das Unternehmen von wochenlangen öffentlichen Schuldzuweisungen an Kelp DAO im Zuge eines 292-Millionen-Dollar-Exploits ab, der nordkoreanischen Angreifern zugeschrieben wird. LayerZero erklärte, das Unternehmen „verantworte" die Entscheidung, ein einzelnes dezentrales Verifier-Netzwerk — eine 1-of-1-DVN-Konfiguration — Cross-Chain-Transfers genehmigen zu lassen, wodurch ein Single Point of Failure entstand, den die Angreifer ausnutzten. „Wir haben nicht kontrolliert, was unser DVN abgesichert hat — ein Risiko, das wir schlicht übersehen haben", schrieb das Team in einem Blog am Freitag.

Warum es wichtig ist

Cross-Chain-Bridges zählen seit Langem zu den am häufigsten angegriffenen Infrastrukturen im Krypto-Bereich, und das Eingeständnis ist ungewöhnlich für eine Branche, in der die Schuld routinemäßig zwischen Protokollteams und Anwendungsentwicklern hin- und hergeschoben wird, bis die Rechtsabteilungen eingreifen. LayerZero zieht nun die standardmäßige Konfigurationsuntergrenze deutlich nach oben: Der DVN wird künftig keine 1-of-1-Setups mehr bedienen, und alle Pathway-Defaults werden, wo möglich, auf 5/5 migriert — und auf keiner Kette lockerer als 3/3, wo nur drei DVNs verfügbar sind. Die Protokollebene selbst, so betont LayerZero, sei nicht kompromittiert worden; der Einstiegspunkt lag in der internen RPC-Infrastruktur, die vom LayerZero-Labs-DVN genutzt wurde, während externe RPC-Anbieter zeitgleich mit Distributed-Denial-of-Service-Angriffen attackiert wurden.

Marktauswirkungen

Der wirtschaftliche Schaden zeigt sich bereits in der Kundenabwanderung. Kelp hat seine rsETH-Bridge auf Chainlinks Cross-Chain Interoperability Protocol umgezogen, und Solv Protocol erklärte diese Woche, im Zuge einer erneuten Sicherheitsüberprüfung mehr als 700 Millionen Dollar an tokenisierter Bitcoin-Infrastruktur von LayerZero wegzuziehen. Zusätzlich zum Exploit-Fallout legte LayerZero offen, dass ein Multisig-Signer vor dreieinhalb Jahren die Hardware-Wallet des Teams für einen persönlichen Trade genutzt hatte; der Signer wurde entfernt, die Wallets rotiert, und ein eigenes Multisig namens OneSig wurde entwickelt, um Wiederholungen zu verhindern. Da LayerZeros eigener Verifier auf der Verliererseite eines 292-Millionen-Dollar-Verlusts mit Verbindung zu einer staatlich gesteuerten Gruppe landet, ist der Bridge-Custody-Markt jetzt offiziell umkämpft.