LayerZero กล่าวโทษการตั้งค่าความปลอดภัยของ KelpDAO ชุมชนคริปโตตั้งคำถามถึงการโยนความรับผิดชอบ

博链BroadChainได้รับทราบว่า เมื่อวันที่ 21 เมษายน เวลา 18:16 ตามรายงานของ NewsBTC โปรโตคอลการทำงานร่วมกันแบบข้ามเชนทั้งหมด LayerZero กำลังเผชิญกับการวิพากษ์วิจารณ์อย่างรุนแรง เนื่องจากคำตอบสนองต่อเหตุการณ์การโจมตี KelpDAO มูลค่า 290 ล้านดอลลาร์เมื่อเร็วๆ นี้ โปรโตคอลได้โทษว่าเหตุการณ์นี้เกิดจากการกำหนดค่าตัวตรวจสอบแบบ 1-of-1 ที่ KelpDAO ใช้ โดยระบุว่าการโจมตี "ที่มีความซับซ้อนสูง" ครั้งนี้ซึ่งดำเนินการโดยกลุ่ม Lazarus ของเกาหลีเหนือ เป็นการโจมตีโครงสร้างพื้นฐานการเข้ารหัส ไม่ใช่ช่องโหว่ของโปรโตคอล และเน้นย้ำว่า "ไม่มีการแพร่กระจายไปยังสินทรัพย์หรือแอปพลิเคชันข้ามเชนอื่นๆ" LayerZero อธิบายว่า โปรโตคอลของตนสร้างขึ้นบนพื้นฐานความปลอดภัยแบบโมดูลาร์และกำหนดค่าได้โดยแอปพลิเคชัน โดยใช้เครือข่ายตัวตรวจสอบแบบกระจายอำนาจ (DVN) เพื่อตรวจสอบความสมบูรณ์ของข้อความข้ามเชน ผู้โจมตีได้ทำให้ RPC ปลายทางเป็นพิษผ่าน "การบุกรุกโครงสร้างพื้นฐาน RPC ส่วนใหญ่ที่ DVN ของ LayerZero Labs พึ่งพา" สร้างข้อความปลอมและกระตุ้นให้ DVN ยืนยันธุรกรรมเท็จ LayerZero จึงโทษว่าเป็นความรับผิดชอบของ KelpDAO ที่ไม่ได้ใช้การกำหนดค่า DVN หลายตัวตามที่แนะนำ ชุมชนการเข้ารหัสแสดงความไม่พอใจอย่างมากต่อเรื่องนี้ วิพากษ์วิจารณ์ว่า LayerZero ขาดความรับผิดชอบ การโทษการตั้งค่าความปลอดภัยของลูกค้าโดยสิ้นเชิงเป็น "พฤติกรรมตลกคลาสสิก" และตั้งคำถามว่าหาก DVN มีจุดมุ่งหมายเพื่อให้ความปลอดภัยที่ปรับแต่งได้/เป็นโมดูลาร์ เหตุใดโปรโตคอลเองจึงอนุญาตให้มีตัวเลือกการกำหนดค่า "1-of-1" ซึ่งเป็นข้อบกพร่องในการออกแบบพื้นฐาน นักวิเคราะห์ The Smart Ape ชี้เพิ่มเติมว่า การวินิจฉัยและแนวทางแก้ไขของ LayerZero ต่างก็ผิด การเพิ่มจำนวนตัวตรวจสอบไม่สามารถหยุดการโจมตีครั้งใหญ่ครั้งต่อไปได้ เนื่องจาก DVN ทั้งหมดอ่านสถานะเชนจากผู้ให้บริการ RPC กลุ่มเล็กๆ เดียวกัน (ส่วนใหญ่รวมศูนย์อยู่ที่ AWS หรือ GCP) หาก DVN "อิสระ" หลายตัวอ่านข้อมูลจากผู้ให้บริการ RPC สามรายเดียวกัน ผู้โจมตีสามารถทำให้ RPC ทั้งสามเป็นพิษพร้อมกันเพื่อหลอกตัวตรวจสอบทั้งหมดได้ เขาแนะนำว่าวิธีแก้ไขพื้นฐานคือตัวตรวจสอบแต่ละตัวควรเรียกใช้โหนดเต็มของตัวเองบนซอฟต์แวร์ไคลเอนต์ที่แตกต่างกัน โฮสต์บนผู้ให้บริการคลาวด์ที่แตกต่างกัน บำรุงรักษาโดยทีมปฏิบัติการที่แตกต่างกัน และเชื่อมต่อกับเซตย่อยที่แตกต่างกันของเครือข่าย Ethereum จนกว่าจะสามารถตรวจสอบโทโพโลยีต้นน้ำของ DVN ได้ มิฉะนั้น "ความปลอดภัยแบบ M-of-N" เป็นเพียงคำพูดทางการตลาด เมื่อวันที่ 18 เมษายน Lazarus ไม่ได้แคร็กการเข้ารหัส พวกเขาแค่เจาะเซิร์ฟเวอร์สามเครื่อง