David Schwartz Mengatakan Kemalasan KelpDAO Memungkinkan Peretasan Korea Utara

• Lazarus Group menggunakan keracunan RPC dan serangan DDoS untuk memalsukan transaksi dan menguras $292 juta.
• KelpDAO mengabaikan panduan LayerZero dan menggunakan konfigurasi DVN 1 dari 1 terlemah yang tersedia.
• Schwartz mengatakan penyedia jembatan menawarkan keamanan yang kuat kemudian mencegah pelanggan menggunakannya.

Eksploitasi KelpDAO senilai $292 juta sekarang memiliki penyerang yang dikonfirmasi, penjelasan terperinci tentang bagaimana itu terjadi dan putusan tentang mengapa itu diizinkan untuk terjadi sama sekali.

LayerZero mengonfirmasi serangan itu dilakukan oleh Lazarus Group Korea Utara, khususnya unit TraderTraitor. CTO Emeritus Ripple David Schwartz membaca pernyataan itu dan tidak berbasa-basi.

“Serangan itu jauh lebih canggih dari yang saya harapkan,” tulis Schwartz. “Ditujukan untuk infrastruktur LayerZero, memanfaatkan kemalasan KelpDAO.”

Bagaimana Serangan Itu Sebenarnya Bekerja

Grup Lazarus tidak mengeksploitasi kelemahan dalam protokol LayerZero. Sebagai gantinya, mereka menargetkan infrastruktur RPC yang digunakan LayerZero DVN untuk memverifikasi transaksi.

Penyerang membahayakan dua node RPC independen, mengganti biner mereka dengan versi berbahaya dan merekayasa node tersebut untuk menampilkan data transaksi palsu secara eksklusif ke DVN sambil melaporkan data yang akurat ke setiap pengamat lain termasuk sistem pemantauan LayerZero sendiri.

Sumber: X

Untuk menyelesaikan serangan, mereka secara bersamaan melakukan DDoS ke node yang tidak dikompromikan, memaksa failover ke infrastruktur beracun. Penyiapan berbahaya menghancurkan sendiri setelah pengurasan, menghapus semua log dan konfigurasi lokal secara otomatis.

Seluruh operasi berlangsung antara pukul 10:20 dan 11:40 PT. Pada akhirnya, 116.500 rsETH senilai $292 juta hilang.

Terkait: Analis Menandai Shakeout Akhir Pekan, Mengatakan $72K Dapat Memicu Kenaikan Bitcoin

Pilihan yang memungkinkannya

Pedoman LayerZero sendiri secara eksplisit merekomendasikan konfigurasi multi-DVN yang membutuhkan konsensus di beberapa verifikator independen. KelpDAO memilih pengaturan 1-of-1 dengan LayerZero Labs sebagai satu-satunya verifier. Satu DVN yang disusupi adalah semua yang dibutuhkan penyerang.

“LayerZero sebelumnya mengomunikasikan praktik terbaik seputar diversifikasi DVN ke KelpDAO. Terlepas dari rekomendasi ini, KelpDAO memilih untuk menggunakan konfigurasi 1/1.” bunyi pernyataan itu. “

Schwartz telah menandai pola yang tepat ini selama evaluasi jembatannya untuk RLUSD. Penyedia jembatan menawarkan fitur keamanan terkuat mereka kemudian diam-diam mencegah pelanggan menggunakannya untuk kenyamanan.

Peringatan yang Tidak Ingin Didengar oleh Siapa Pun

Schwartz menambahkan kekhawatiran yang dapat mengguncang pasar DeFi lebih lanjut. “Saya pikir potongan rambut secara menyeluruh di rsETH tidak mungkin,” tulisnya.

Setiap kerugian yang dikenakan pada deposan WETH akan mengalir ke Morpho, Spark, Fluid dan Euler secara bersamaan, berpotensi merusak seluruh sektor pengambilan ulang cairan selama bertahun-tahun.

LayerZero telah mengonfirmasi bahwa mereka tidak akan lagi menandatangani pesan dari aplikasi menggunakan konfigurasi DVN 1/1. Penegakan hukum di berbagai yurisdiksi telah diberitahu.

Terkait: Trump Menandakan Keraguan Gencatan Senjata, Pasar Berubah Bergejolak