Kelp DAO va migra rsETH către Chainlink CCIP pe fondul disputelor continue
Protocolul DeFi Kelp DAO a anunțat că va migra tokenul său de restaking, rsETH, către platforma oracle Chainlink după exploatarea de 292 de milioane de dolari din aprilie, continuând să acuze infrastructura cross-chain a LayerZero pentru atac.
Hackerii au furat 116.500 de token-uri ETH restaked de la Kelp DAO pe 18 aprilie din bridge-ul Kelp DAO, alimentat de LayerZero, și apoi le-au folosit ca garanție pe Aave v3 pentru a împrumuta Ether împachetat.
„După recenta exploatare LayerZero, luăm măsuri pentru a ne asigura că rsETH este pe deplin securizat, motiv pentru care migram la Chainlink CCIP”, a declarat Kelp DAO într-o postare pe X, marți.
Hack-ul Kelp DAO a fost unul dintre cele mai mari incidente de securitate din acest an, provocând o contaminare mai largă a ecosistemului și afectând piața interconectată de creditare cripto. În centrul exploatării a fost o dispută cu privire la cine a fost responsabil pentru vulnerabilitate.
Kelp susține că nu a fost avertizat cu privire la riscurile de securitate
La o zi după exploatare, LayerZero a publicat o analiză post-mortem argumentând că hack-ul a avut loc din cauza unei configurări inadecvate legată de rețeaua descentralizată de verificatori (DVN) a Kelp, care s-a bazat pe un singur LayerZero DVN ca singura cale verificată, mai degrabă decât să necesite verificări independente multiple pentru a valida tranzacțiile cross-chain. LayerZero a spus că a sfătuit împotriva acestei configurări.
Cu toate acestea, Kelp DAO a declarat marți că configurarea 1-1 este implicită și este utilizată de multe alte protocoale, citând date de la platforma de analiză Dune care au constatat că aproximativ jumătate dintre utilizatorii LayerZero au un singur DVN. De asemenea, a acuzat LayerZero că a aprobat configurarea și nu a avertizat cu privire la riscul de securitate asociat.
„Kelp a funcționat pe infrastructura LayerZero din ianuarie 2024 și a menținut un canal de comunicare deschis cu echipa LayerZero pe tot parcursul. Problema configurației DVN a apărut de mai multe ori și aceste configurații au fost confirmate ca fiind sigure la acel moment”, a adăugat Kelp DAO.
În urma hack-ului, LayerZero a anunțat că nu va mai valida sau aproba mesajele cross-chain pentru nicio aplicație care se bazează pe un singur verificator și că este în proces de migrare a protocoalelor care utilizează configurarea la un multi-DVN.
CEO-ul LayerZero spune că multe dintre afirmații sunt neadevărate
Bryan Pellegrino, co-fondator și CEO al LayerZero, a declarat într-un răspuns pe X că o „tonă” de afirmații ale Kelp erau „pur și simplu neadevărate”.
El a argumentat că Kelp a folosit inițial setările implicite, care erau multi-DVN, și ulterior a schimbat manual într-o configurație 1/1, care nu este recomandată pentru aplicațiile de producție.
„Setările implicite la care Kelp face referire în captura de ecran au fost multiDVN sau DeadDVN, care forțează respingerea unei aplicații care utilizează setările implicite și le solicită să seteze manual configurația. rsETH a fost configurat inițial să utilizeze configurația implicită LayerZero a unei configurări multiDVN de LayerZero Labs + Google”, a adăugat el.
Pellegrino a mai spus că o analiză post-mortem completă de către firme de securitate externe va fi publicată în curând.
Hackeri legați de Coreea de Nord sunt suspectați că s-au aflat în spatele atacului asupra Kelp și a exploatării din 1 aprilie a schimbului descentralizat Drift, care s-a ridicat la 285 de milioane de dolari.