LayerZero تصدر تقريرًا استقصائيًا: تحليل الأسباب المباشرة وعمليات اختراق KelpDAO

المصدر: LayerZero؛ الترجمة: 金色财经Claw

بيان حول حادثة هجوم على KelpDAO

في 18 أبريل 2026، تعرضت KelpDAO لهجوم، وخسائر تقدر بحوالي 290 مليون دولار. تشير الأدلة الأولية إلى أن الهجوم نابع من منظمة قرصنة عالية التعقيد على مستوى الدولة، ومن المرجح أن تكون مجموعة Lazarus من كوريا الشمالية (وتحديدًا فرع TraderTraitor). الحادث مقتصر فقط على تكوين rsETH الخاص بـ KelpDAO، والسبب المباشر هو اعتمادها على إعداد DVN واحد (شبكة التحقق اللامركزية). لا توجد مخاطر انتقالية على الأصول أو التطبيقات عبر السلاسل الأخرى.

الهجوم شديد التعقيد هذا استهدف البنية التحتية لRPC (النداء الإجرائي البعيد) التابعة لمزود DVN الخاص بـ LayerZero Labs في الطبقة السفلية. حاليًا، تم التخلي عن جميع عقد RPC المتأثرة واستبدالها، وأعيد تشغيل DVN الخاص بـ LayerZero Labs.

نشارك هذه التفاصيل بهدف مساعدة المجتمع على فهم وتجنب هذا النوع من الهجمات الجديدة المدعومة من قبل الدول.

الخلفية: الهيكل الأمني المعياري لـ LayerZero

يقوم بروتوكول LayerZero على بنية أمنية معيارية وقابلة للتكوين من قبل التطبيق. شبكات التحقق اللامركزية (DVNs) هي كيانات مستقلة مسؤولة عن التحقق من سلامة رسائل السلسلة عبر السلاسل. من المهم جدًا أن البروتوكول لا يفرض تكوين أمني موحد. بدلاً من ذلك، يمنح كل تطبيق ومرخص إصدار الأصول الحق في تحديد وضعه الأمني الخاص، بما يشمل الاعتماد على أي DVN، وكيفية الجمع بينها، وتحديد عتبات التكرار.

أفضل الممارسات الصناعية — وهي أيضًا التوصية الواضحة التي تقدمها LayerZero لجميع الشركاء المدمجين — هي تكوين إعدادات DVN متعددة ومتنوعة لضمان التكرار. هذا يعني أن أي DVN فردي لا ينبغي أن يمثل نقطة ثقة أو نقطة فشل أحادية الجانب.

النطاق وحالة الانتقال: مقتصر على rsETH

قمنا بمراجعة شاملة لنشاطات التكامل على بروتوكول LayerZero. يمكننا التأكيد بثقة أنه لا توجد مخاطر انتقالية على أي أصول أو تطبيقات أخرى. الحادث نجم تمامًا عن إعداد DVN واحد لـ KelpDAO، وهو معزول عن تكوين rsETH الخاص بها.

التطبيق المتأثر هو rsETH الذي تصدره KelpDAO. عند وقوع الحادث، كان تكوين OApp الخاص بها يعتمد على إعداد DVN “1 من 1”، مع اعتمادها فقط على LayerZero Labs كمحقق وحيد — وهو تكوين يخالف مباشرة نموذج التكرار متعدد DVN الذي توصي به LayerZero دائمًا. إعداد نقطة فشل واحدة يعني عدم وجود محقق مستقل لالتقاط ورفض الرسائل المزورة. سابقًا، أبلغت LayerZero وغيرها من المؤسسات الخارجية KelpDAO بأفضل الممارسات لتنوع DVN، ومع ذلك اختارت KelpDAO استخدام تكوين DVN 1/1 رغم هذه النصائح.

لو تم اعتماد تكوين تعزيز معقول، لكان على المهاجم أن يتوافق مع عدة DVNs مستقلة، وحتى لو تم اختراق أي DVN واحد، فسيكون الهجوم غير فعال.

سير الحادث

في 18 أبريل 2026، أصبح DVN الخاص بـ LayerZero Labs هدفًا لهجوم معقد للغاية. قام المهاجمون بتعديل أو “تسميم” البنية التحتية لـRPC في الطبقة السفلية، واخترقوا عددًا من عقد DVN التي تعتمد على التحقق من المعاملات، وتلاعبوا بعدد من عقد RPC التي تعتمد على بروتوكول op-geth. لم يتم ذلك عبر ثغرة في البروتوكول، أو DVN نفسه، أو عبر ثغرة في إدارة المفاتيح.

بدلاً من ذلك، حصل المهاجمون على قائمة RPC التي نستخدمها، ونجحوا في اختراق عقدتين مستقلتين منها، وقاموا بتغيير ملفات ثنائية لعقدة op-geth التي تعمل على تشغيلها. وفقًا لمبدأ “أقل صلاحية”، لم يتمكنوا من اختراق نسخة DVN الفعلية. ومع ذلك، استغلوا ذلك لتنفيذ هجوم خداع RPC:

• عقد خبيثة تستخدم حمولة مخصصة لتزوير رسائل إلى DVN.

• تلك العقدة تكذب على DVN، لكنها تقدم معلومات حقيقية لأي عنوان IP آخر (بما في ذلك خدمات المسح الخاصة بنا والبنية التحتية للمراقبة الداخلية). هذا التصميم الدقيق يهدف إلى منع اكتشافات الأمان من قبل أنظمة المراقبة.

• بعد إتمام الهجوم، تقوم العقدة الخبيثة بحذف نفسها، وتقوم بتعطيل RPC، وتحذف الملفات الثنائية الخبيثة والسجلات ذات الصلة.

بالإضافة إلى ذلك، شن المهاجمون هجمات DDoS على RPC غير المخترق، مما أدى إلى فشل النظام (failover) إلى عقد RPC التي تم تسميمها. ونتيجة لذلك، أكد نظام DVN الذي تديره LayerZero Labs أن معاملات لم تحدث أبدًا في الواقع.

الوضع الأمني لـ LayerZero Labs

نحن ندير نقاط نهاية للكشف والاستجابة (EDR) كاملة، مع تحكم صارم في الوصول، وبيئة معزولة تمامًا، وسجلات نظام كاملة. تعمل عقد DVN الخاصة بنا عبر الشبكة الداخلية والخارجية. نحن حاليًا في المرحلة النهائية من تدقيق SOC2.

الطريق المستقبلي

1. استعادة DVN: تم استعادة تشغيل DVN الخاص بـ LayerZero Labs. يمكن للتطبيقات التي تعتمد على إعداد DVN متعدد أن تستأنف عملياتها بأمان.

2. الترحيل القسري: نحن نتواصل مع جميع التطبيقات التي تستخدم إعداد DVN 1/1، ونطلب منها الترحيل إلى إعداد تكرار متعدد DVN. لن تقوم LayerZero Labs DVN بعد الآن بتوقيع أو إثبات الرسائل لأي تطبيق يستخدم إعداد 1/1.

3. التعاون مع الجهات القانونية: نحن نتعاون مع العديد من الجهات القانونية العالمية، وندعم الشركاء في الصناعة وSeal911 في تتبع الأموال.

الخلاصة

نريد أن نوضح نقطة مهمة: أن بروتوكول LayerZero نفسه عمل بشكل كامل ومتوقع خلال الحادث. لم يتم اكتشاف ثغرة في البروتوكول. إذا كان هناك نظام واحد أو نظام أمان مشترك، فربما تنتقل المخاطر إلى جميع التطبيقات. الميزة الوحيدة لبنية LayerZero هي الأمان المعياري، وفي هذه الحالة لعبت دورها بشكل فعال — حيث تم عزل الهجوم تمامًا في تطبيق واحد، مع عدم وجود مخاطر انتقال داخل النظام.

سنواصل العمل على أمن وسلامة نظام بيئة LayerZero.