El riesgo de seguridad en los contratos de la biblioteca predeterminada de LayerZero genera controversia, los investigadores señalan una vulnerabilidad de falsificación de mensajes entre cadenas

BlockBeats Noticias, 8 de mayo, a primera hora de hoy, en el grupo de Telegram de ETHSecurity Community, se desató una acalorada discusión entre Bryan Pellegrino, cofundador de LayerZero, y investigadores de seguridad. Los investigadores señalaron que el contrato de biblioteca predeterminado de LayerZero tiene una falla fatal, y que LayerZero Labs puede actualizar ese contrato sin bloqueo de tiempo e instantáneamente, lo que permite falsificar mensajes entre cadenas, siendo esta la causa fundamental del ataque rsETH anterior. Se afirma que más de 3 mil millones de dólares en LayerZero OFT (tokens homogeneizados en toda la cadena) estuvieron en riesgo por ello.

Según lo revelado por Banteg, hasta hace unas semanas, proyectos principales como Ethena, EtherFi y otros todavía usaban este contrato de biblioteca predeterminado con riesgos. Actualmente, aproximadamente 1.78 mil millones de dólares en valor están expuestos a posibles ataques. Los datos en cadena que divulgó muestran que los firmantes de múltiples firmas de LayerZero Labs realizan actividades que no corresponden a firmas múltiples, incluyendo transacciones con tokens Meme, intercambios en DEX y operaciones en puentes entre cadenas. Esto significa que las claves de firma de múltiples firmas en producción están conectadas a sitios web comunes, lo que aumenta significativamente el riesgo de ataques de phishing. Los críticos afirman que la gestión de claves privadas de LayerZero es «como la de un estudiante de secundaria».

En respuesta, Bryan, cofundador de LayerZero, afirmó que los firmantes relevantes ya han sido eliminados, que las transacciones fueron «pruebas», y que la configuración predeterminada está diseñada para «equipos que no priorizan la seguridad», además de enfatizar que la mayoría de las aplicaciones principales ya han cambiado, y que LayerZero está promoviendo la seguridad de los usuarios, aunque no responsabiliza individualmente a todas las aplicaciones.