LayerZero đã công khai xin lỗi vào thứ Sáu về cách xử lý hậu quả từ sự cố khai thác ngày 18 tháng 4 đã làm mất khoảng 292 triệu đô la rsETH từ cầu nối xuyên chuỗi của Kelp DAO, đánh dấu một sự thay đổi đáng kể về giọng điệu so với bản phân tích sự cố trước đó, vốn mô tả giao thức "hoạt động đúng như dự định."

"Chúng tôi đã làm rất tệ trong việc truyền thông suốt ba tuần qua," LayerZero viết trong bài đăng trên blog, cũng được đăng chéo lên X. "Chúng tôi muốn ưu tiên sự hoàn chỉnh dưới dạng một bản phân tích sự cố toàn diện, nhưng chúng tôi lẽ ra nên thẳng thắn ngay từ đầu."

Giao thức cho biết các nút RPC nội bộ của mình, mà Mạng Lưới Xác Minh Phi Tập Trung (DVN) của họ dựa vào để đọc trạng thái chuỗi nguồn, đã bị nhóm Lazarus của Triều Tiên xâm phạm. Kẻ tấn công đã làm hỏng nguồn cấp dữ liệu của các nút đó đồng thời phát động một cuộc tấn công DDoS chống lại các nhà cung cấp RPC bên ngoài của LayerZero, buộc DVN phải chuyển sang cơ sở hạ tầng bị xâm phạm và ký xác nhận các giao dịch chưa bao giờ thực sự xảy ra. LayerZero trước đó đã quy kết cuộc tấn công cho một nhóm nhỏ của Lazarus được gọi là TraderTraitor.

Bài đăng thừa nhận một điểm mà LayerZero trước đây đã phản đối: lẽ ra không nên cho phép DVN của mình đóng vai trò là trình xác minh duy nhất cho các giao dịch giá trị cao. "Chúng tôi tin rằng các nhà phát triển nên chọn cấu hình bảo mật của riêng họ, nhưng chúng tôi đã mắc lỗi khi cho phép DVN của chúng tôi hoạt động như một DVN 1/1 cho các giao dịch giá trị cao," công ty viết. "Chúng tôi đã không giám sát những gì DVN của chúng tôi đang bảo vệ, điều này đã tạo ra một rủi ro mà chúng tôi đơn giản là không thấy."

Cách diễn đạt đó thể hiện một sự nhượng bộ đáng kể. Tuyên bố sự cố ban đầu của LayerZero đổ lỗi hoàn toàn cho các lựa chọn cấu hình của Kelp DAO, mô tả thiết lập DVN 1-trong-1 là một quyết định mà Kelp đã thực hiện trái với hướng dẫn.

Kelp DAO đã công khai phản bác điều đó, chỉ ra tài liệu, hướng dẫn nhanh và ví dụ dành cho nhà phát triển của LayerZero làm bằng chứng rằng thiết lập một trình xác minh là khuyến nghị mặc định của nền tảng khi khởi tạo. Một phân tích của Dune được Kelp trích dẫn cho thấy 47% trong số khoảng 2.665 hợp đồng OApp LayerZero đang hoạt động đã chạy cùng một cấu hình tại thời điểm xảy ra cuộc tấn công.

LayerZero cho biết sự cố khai thác chỉ ảnh hưởng đến một ứng dụng duy nhất, chiếm khoảng 0,14% tổng số ứng dụng trên mạng và khoảng 0,36% giá trị tài sản sử dụng LayerZero. Họ nói thêm rằng hơn 9 tỷ đô la đã được chuyển qua giao thức kể từ ngày 19 tháng 4.

Tiết lộ về người ký multisig

Bài đăng trên blog cũng tiết lộ một sự cố bảo mật hoạt động chưa từng được báo cáo trước đây. Khoảng ba năm rưỡi trước, một trong những người ký multisig của LayerZero đã sử dụng ví cứng sản xuất của họ để thực hiện giao dịch cá nhân, trong khi dự định sử dụng một thiết bị cá nhân riêng biệt. LayerZero cho biết người ký đã bị loại khỏi multisig, các ví đã được xoay vòng, và công ty kể từ đó đã thêm phần mềm phát hiện bất thường vào mỗi thiết bị ký.

Tiết lộ này được đưa ra trong bối cảnh các cuộc xem xét riêng biệt, đang diễn ra về bảo mật hoạt động của những người ký multisig của LayerZero. Các nhà nghiên cứu onchain và các nhân vật bảo mật bao gồm người liên lạc cộng đồng Chainlink Zach Rynes đã chỉ ra bằng chứng rằng các khóa multisig sản xuất đã được sử dụng cho các hoạt động DEX không liên quan, bao gồm cả những gì dường như là một giao dịch hoán đổi memecoin McPepes trên Uniswap. CEO LayerZero Bryan Pellegrino cho biết các giao dịch này là thử nghiệm OFT của các người ký cũ đã bị loại bỏ kể từ đó. 

LayerZero lên kế hoạch thay đổi trong bối cảnh di chuyển

LayerZero đã phác thảo một loạt các thay đổi mà họ đã thực hiện kể từ sự cố khai thác. DVN của LayerZero Labs không còn hỗ trợ cấu hình DVN 1/1 nữa. Cài đặt mặc định trên tất cả các lộ trình đang được di chuyển để yêu cầu ít nhất năm trình xác minh nếu có thể, với mức tối thiểu là ba trên các chuỗi chỉ có ba DVN. Công ty cũng đang xây dựng một ứng dụng khách DVN thứ hai được viết bằng Rust để đa dạng hóa ứng dụng khách và đã cấu hình lại thiết lập RPC của mình để cho phép kiểm soát số lượng phiếu bầu chi tiết hơn trên các nhà cung cấp nút nội bộ và bên ngoài.

Về phía cơ sở hạ tầng, LayerZero cho biết họ có kế hoạch tăng ngưỡng multisig của riêng mình từ 3-trên-5 lên 7-trên-10 bằng cách sử dụng OneSig, một công cụ multisig mã nguồn mở mà công ty đã giới thiệu vào năm ngoái. OneSig cho phép người ký tải xuống giao dịch và băm chúng cục bộ trước khi ký, ngăn chặn phụ trợ chèn các giao dịch trái phép. LayerZero cũng cho biết họ đang xây dựng một nền tảng gọi là Console để các nhà phát hành tài sản cấu hình và giám sát các cài đặt bảo mật, với tính năng phát hiện bất thường tích hợp để gắn cờ các cấu hình rủi ro.

Lời xin lỗi được đưa ra vào một thời điểm khó khăn đối với LayerZero. Hai giao thức lớn đã di chuyển cơ sở hạ tầng xuyên chuỗi của họ sang CCIP của Chainlink trong những tuần kể từ sự cố khai thác. Kelp DAO đã thông báo rời đi vào đầu tuần này, trở thành giao thức lớn đầu tiên rời LayerZero kể từ vụ hack. Solv Protocol tiếp bước, thông báo sẽ di chuyển hơn 700 triệu đô la bitcoin được mã hóa khỏi LayerZero, với lý do lo ngại về bảo mật.

Trong khi đó, sáng kiến phục hồi DeFi United được thành lập sau sự cố khai thác đã huy động được hơn 300 triệu đô la ETH và stablecoin. LayerZero đã đóng góp 10.000 ETH, chia thành 5.000 ETH quyên góp và 5.000 ETH cho vay cho Aave, nơi đang đối mặt với ước tính từ 124 triệu đến 230 triệu đô la nợ xấu từ sự cố này. Arbitrum DAO đã bỏ phiếu để giải phóng 30.766 ETH bị đóng băng cho nỗ lực phục hồi, và một thẩm phán vào thứ Sáu đã cho phép việc chuyển giao tiếp tục bất chấp lệnh cấm từ các nạn nhân khủng bố và chủ nợ của Triều Tiên. 

LayerZero cho biết một bản phân tích sự cố chính thức sẽ được công bố sau khi các đối tác bảo mật bên ngoài hoàn thành công việc của họ.