Kelp, объявил о переносе на Chainlink… снова атакует LayerZero, утверждая, что «знали о уязвимостях безопасности, но молчали»

Договор о мобильном стекинге Kelp после инцидента с фишинговой атакой на сумму около 300 миллионов долларов официально объявил о переходе на протокол межцепочечной совместимости Chainlink (CCIP). В то же время, споры вокруг ответственности за атаку с участием LayerZero вновь обострились.

Ход событий

18 апреля этого года хакерская группа Lazarus, предположительно связанная с Северной Кореей, использовала уязвимость Kelp и незаконно создала 116 500 rsETH — токенов для мобильного стекинга Ethereum. Затем злоумышленники перевели украденные активы в децентрализованный протокол ликвидности Aave, взяв взаймы 106 497 ETH, что по текущему курсу составляло убытки на сумму от 292 до 294 миллионов долларов. После обнаружения атаки Kelp немедленно приостановил все контракты и успешно заблокировал две последующие подозрительные транзакции на сумму около 100 миллионов долларов.

Спор о ответственности

Изначально Kelp квалифицировал инцидент как «атаку на инфраструктуру LayerZero», однако со стороны LayerZero было опровержение, что Kelp не использовал рекомендуемую ими конфигурацию на базе мульти-DVN (децентрализованной сети валидаторов), а сохранил уязвимую «один-к-один» одновалидаторную настройку, что и стало причиной инцидента. Бывший CTO Ripple, David Schwartz, также присоединился к дискуссии, отметив, что протокол безопасности LayerZero сам по себе достаточно надежен, а Kelp не использовал его по удобству.

Kelp во вторник вечером вновь отреагировал, указав, что 47% OApp (приложений на всей цепочке) по-прежнему используют ту же конфигурацию «один-к-один», а 90% сообщений, обрабатываемых этой инфраструктурой, зависят всего от одного-двух DVN. Kelp подчеркнул, что LayerZero по умолчанию использует именно структуру «один-к-один» для внедрения и рекомендации DVN, и что Kelp просто следовал их руководящим принципам.

Кроме того, Kelp обвинил LayerZero в молчании после обнаружения взлома DVN, отсутствии мониторинга сети и уязвимостей, а также отметил, что LayerZero начал признавать конфигурацию «один-к-один» только после атаки.

Переход на Chainlink

Для предотвращения подобных атак в будущем Kelp решил перенести свою инфраструктуру межцепочечной безопасности на Chainlink CCIP. Также стандарт rsETH будет переведен с LayerZero OFT (однородных токенов всей цепочки) на стандарт Chainlink CCT (межцепочечных токенов). Kelp заявил, что децентрализованная сеть оракулов Chainlink обеспечивает более высокий уровень безопасности для межцепочечной коммуникации по сравнению с LayerZero, и в настоящее время команда занимается финализацией деталей миграции.

По данным, несмотря на атаку и значительный вывод средств, общий заблокированный объем (TVL) Kelp остается примерно на уровне 1,63 миллиарда долларов, что свидетельствует о сохранении высокой доверия сообщества.