Omnichain birlikte çalışabilirlik protokolü LayerZero, KelpDAO’da yaşanan 290 milyon dolarlık saldırıya verdiği yanıt nedeniyle yoğun eleştiriyle karşı karşıya. LayerZero, saldırının sorumluluğunu KelpDAO’nun 1’e 1 doğrulayıcı (verifier) konfigürasyonuna yükledi.
Hafta sonu, likit restaking protokolü KelpDAO, LayerZero altyapısıyla çalışan köprüsündeki bir zafiyetin kötü niyetli kişilerce istismar edilmesi sonucu 290 milyon doların üzerinde rsETH kaybı yaşadı.
İki gün sonra LayerZero, DeFi ekosisteminde Drift Protocol’deki 285 milyon dolarlık istismarın ardından yılın en büyük saldırısı olarak kayda geçen bu olaya ilişkin açıklama yaptı.
LayerZero, “son derece sofistike” olarak nitelendirdiği saldırının Kuzey Kore bağlantılı Lazarus Group tarafından gerçekleştirildiğini belirtti. Şirket, bunun bir protokol açığı değil, kripto altyapısına yönelik bir saldırı olduğunu ve “diğer zincirler arası varlıklar veya uygulamalar için herhangi bir bulaşıcılık riski olmadığını” vurguladı.
Protokolün, zincirler arası mesajların bütünlüğünü doğrulamakla görevli bağımsız varlıklar olan Merkeziyetsiz Doğrulayıcı Ağları (DVN) temelinde, modüler ve uygulamaya göre yapılandırılabilir bir güvenlik mimarisiyle inşa edildiği ifade edildi.
Açıklamaya göre saldırganlar, LayerZero Labs’in DVN’inin işlem doğrulamada kullandığı RPC’lerin çoğunluğunu ele geçirerek, aşağı yönlü RPC altyapısını zehirledi.
Saldırganlar, özel bir yükle ikili dosyaları değiştirerek sahte mesajlar oluşturdu ve DDoS saldırılarıyla zehirli düğümlere geçişi tetikleyerek DVN’in sahte işlemleri onaylamasını sağladı.
LayerZero, bu gelişmeler ışığında, KelpDAO’nun çoklu DVN önerileri yerine 1’e 1 doğrulayıcı konfigürasyonu kullanmasını eleştirerek, “Bu olay, doğrudan tekli DVN yapılandırmasının sonucu olarak yalnızca KelpDAO’nun rsETH konfigürasyonunu etkiledi” açıklamasında bulundu.
Kripto topluluğu ise LayerZero’nun olay sonrası yaptığı açıklamaya tepki gösterdi. Protokolün tüm sorumluluğu KelpDAO’nun güvenlik tercihlerine yüklemesi eleştirildi.
X platformunda Saint adlı kullanıcı, “Bir köprü inşa edip araçların geçişine izin veriyorsunuz, köprü çökünce de suçu geçenlere atıyorsunuz. Sıfır sorumlulukla klasik bir palyaço gösterisi” ifadelerini kullandı.
Başka kullanıcılar ise, DVN’in amacı özelleştirilebilir/modüler güvenlikse, neden sistemde 1’e 1 konfigürasyon seçeneği bulunduğunu sorguladı. Ditto adlı kullanıcı, “Sistem bu seçeneğe izin veriyorsa, bunu seçen müşterinin değil, bu imkanı sağlayan sistemin tasarım hatasıdır” dedi.
Aynı kullanıcı, “Sonuçta DVN RPC’si ele geçirildi. DVN, LayerZero’nun ürünü ve bu ürünü bu ekiplere satan da onlar” yorumunu ekledi.
Benzer şekilde, Chainlink topluluk yöneticisi Zach Rynes da protokolü, kendi DVN düğümünün ele geçirilmesindeki sorumluluğu başkasına atmakla suçladı.
Rynes, LayerZero Labs’in kendi kurulumuna güvenen KelpDAO’yu “gözden çıkardığını”, saldırıdan sonra engelleme getirdiklerini ve her şeyin tasarlandığı gibi çalıştığını iddia ettiklerini belirterek eleştirilerini sürdürdü.
Öte yandan, Yearn Finance çekirdek ekip geliştiricisi Artem K, saldırının bir RPC düğümünün ele geçirilmesi ve RPC zehirlenmesi olarak tanımlandığını, ancak asıl kendi altyapılarının tehlikeye girdiğini vurguladı. “İhlalin nasıl gerçekleştiği açıklanmadığı için köprüleri yeniden etkinleştirmekte acele edilmemeli” dedi.
Analist The Smart Ape ise LayerZero’nun yanlış teşhis ve yanlış çözüm sunduğunu savundu. Protokolün olay sonrası raporunda, benzer saldırıların önlenmesi için tüm uygulamaların 1’e 1 DVN yapılandırmasından çoklu DVN kurulumuna geçirilmesi önerilmişti.
Ancak analist, çoklu doğrulayıcıların bir sonraki büyük saldırıyı engellemeyeceğini, çünkü tüm DVN’lerin zincir durumunu genellikle AWS veya GCP üzerinde kümelenmiş aynı birkaç RPC sağlayıcısından okuduğunu belirtti.
Beş “bağımsız” DVN aynı üç RPC sağlayıcısından veri alıyorsa, bu üç RPC zehirlendiğinde beş doğrulayıcı da aynı anda yanıltılmış olur. “Tüm doğrulayıcılarınız aynı anda aynı şekilde kandırılırsa, matematik yine 1’e 1’e döner. Beş klon, beş tanık değildir” dedi.
Analist, çözüm olarak her doğrulayıcının farklı istemci yazılımlarıyla, farklı bulut sağlayıcılarında, farklı operasyon ekipleri tarafından yönetilen ve Ethereum ağının farklı alt kümeleriyle eşleşen kendi tam düğümünü çalıştırmasını önerdi.
“Çözüm çoklu yapı değil. Doğrulayıcıların yalnızca zincir durumuna değil, kendi altyapılarına da kefil olması gerekiyor. Bir DVN’in üst akış topolojisini, hangi RPC sağlayıcılarını, hangi istemci yazılımını, hangi bulutları, hangi bölgeleri kullandığını denetleyemediğiniz sürece, ‘M-of-N secured’ ifadesi, gerçekte inşa edilmemiş bir özelliğin pazarlama metnidir. Lazarus, 18 Nisan’da kriptografiyi kırmadı. Üç sunucuyu ele geçirdi” ifadelerini kullandı.
Bu içerik hazırlanırken faydalanılan kaynaklar: newsbtc.com
