Layerzero gibt RPC-Vergiftungsvorfall im Zusammenhang mit KelpDAO-Hack im Wert von 292 Millionen US-Dollar bekannt

Layerzero Labs entschuldigt sich für die Reaktion der Lazarus Group auf einen Sicherheitsverstoß

Layerzero Labs hat eine herausgegeben offene Entschuldigung für eine dreiwöchige Kommunikationspause nach einer Sicherheitsverletzung im Zusammenhang mit dem Lazarus-Gruppe. Einem offiziellen Update zufolge haben die Angreifer die Quelle der Wahrheit für interne Remote Procedure Calls (RPCs) vergiftet, die vom Decentralized Verifier Network (DVN) von Layerzero Labs verwendet werden.

Dieser raffinierte Angriff fiel mit einem DDoS-Angriff (Distributed Denial of Service) gegen den externen RPC-Anbieter des Unternehmens zusammen. Dem Bericht zufolge beschränkte sich der Niederschlag auf einen kleinen Teil des Ökosystems. Layernull stellte fest, dass der Vorfall eine einzelne Anwendung betraf, was 0,14 % aller Apps und 0,36 % des im Protokoll gesperrten Gesamtwerts ausmachte.

Seit dem 19. April gab das Team bekannt, dass es mit externen Partnern zusammenarbeitet Sicherheit Partner, um einen umfassenden Obduktionsbericht fertigzustellen. Das Team räumte außerdem ein erhebliches Versehen ein, indem es seinem DVN erlaubte, als alleiniger Verifizierer für Transaktionen mit hohem Wert zu fungieren. Layerzero räumte außerdem ein, dass sie nicht überwachten, was ihr DVN sicherte, was zu einem „Single Point of Failure“-Risiko führte.

Um dies zu beheben, schult das Labor Entwickler jetzt in sicheren Konfigurationen und wird keine 1/1-DVN-Setups mehr bedienen. Die Offenlegung befasste sich auch mit einer bizarren Sicherheitslücke, die einen Multisig-Unterzeichner betraf. Vor dreieinhalb Jahren nutzte eine Einzelperson fälschlicherweise eine Multisig-Hardware-Wallet für einen persönlichen Handel.

Der Unterzeichner wurde inzwischen entfernt und das Unternehmen hat eine maßgeschneiderte Multisig-Lösung namens „Onesig“ implementiert. Onesig soll unbefugte Backend-Transaktionen verhindern, indem Transaktionen lokal auf Benutzerseite gehasht und merklichisiert werden. Layerzero stellte fest, dass es außerdem seinen Multisig-Schwellenwert in allen Ketten, in denen Onesig unterstützt wird, von 3/5 auf 7/10 erhöht.

Dieser Schritt, so erklärte das Unternehmen, sei Teil einer umfassenderen Anstrengung, das Protokoll gegen künftige staatlich geförderte Bedrohungen abzusichern. Trotz des Verstoßes betonte das Protokoll, dass mehr als 9 Milliarden US-Dollar eingegangen seien Volumen bewegt sich seit dem 19. April über das Netzwerk. Layerzero betonte, dass es mit der These entwickelt wurde, dass Anwendungen ihre End-to-End-Sicherheit besitzen sollten, um systemische Risiken zu vermeiden.

Dem Blogbeitrag zufolge hat die Architektur bisher Überweisungen in Höhe von insgesamt über 260 Milliarden US-Dollar ermöglicht. Für die Zukunft empfiehlt Layerzero Entwicklern, ihre Konfigurationen zu fixieren, anstatt sich auf Standardeinstellungen zu verlassen. Das Team schlägt außerdem vor, Blockbestätigungen auf Ebenen festzulegen, bei denen Neuorganisationen nahezu unmöglich sind.

Das Team entwickelt derzeit einen zweiten in Rust geschriebenen DVN-Client, um die Kundenvielfalt zu fördern. Zu den weiteren Upgrades gehört eine robustere RPC-Quorum-Konfiguration. Dies ermöglicht es DVNs, detaillierte Quoren für interne und externe Anbieter auszuwählen, so detailliert Layerzero. Das Team führt außerdem „Console“ ein, eine einheitliche Plattform für Vermögensemittenten zur Verwaltung der Sicherheit und Überwachung auf Anomalien.

Das Layerzero-Team besteht weiterhin darauf, dass das zugrunde liegende Protokoll von der RPC-Vergiftung unberührt geblieben ist. Sie behaupten, dass der modulare Aufbau es ermöglicht habe, den Rest des jüngsten Datenverkehrs in Höhe von 9 Milliarden US-Dollar sicher zu halten. Das Eingeständnis eines mit der Lazarus-Gruppe verbundenen Angriffs zeigt den Realismus und die anhaltende Bedrohung, der die kettenübergreifende Infrastruktur heute ausgesetzt ist. Der Botschaft von Layerzero folgen einige DeFi Projekte wählen Zu Hebelwirkung Kettengliedist CCIP.

Anfang dieser Woche berichtete das nordkoreanische Außenministerium (über die Staatsmedien KCNA) abgelehnt US-amerikanische und internationale Behauptungen, die damit in Verbindung stehen Kryptowährung Diebstähle und Cyberangriffe. Sie bezeichneten die Anschuldigungen als „absurde Verleumdung“, „Falschinformationen“ und eine politisch motivierte Verleumdungskampagne der USA, um ihr Image zu schädigen.