Le contrat de bibliothèque par défaut de LayerZero suscite des débats en raison de risques de sécurité, des chercheurs soulignant une vulnérabilité de falsification de messages inter-chaînes

BlockBeats message, le 8 mai, plus tôt aujourd’hui, dans le groupe Telegram de la communauté ETHSecurity, une vive controverse a éclaté entre Bryan Pellegrino, co-fondateur de LayerZero, et des chercheurs en sécurité. Les chercheurs ont souligné que le contrat de bibliothèque par défaut de LayerZero présente une faille fatale, permettant à LayerZero Labs de mettre à jour ce contrat sans verrouillage temporel, ce qui pourrait falsifier des messages inter-chaînes, ce qui est la cause fondamentale de l’attaque rsETH précédente. Il est rapporté que plus de 3 milliards de dollars en LayerZero OFT (jetons homogènes inter-chaînes) ont été exposés à ce risque.

Selon Banteg, il y a quelques semaines, des projets majeurs tels qu’Ethena, EtherFi utilisaient encore ce contrat de bibliothèque par défaut risqué. Actuellement, environ 178 millions de dollars de valeur sont toujours exposés à un risque potentiel d’attaque. Les données on-chain qu’il a divulguées montrent que les signataires multi-signatures de LayerZero Labs ont effectué des activités non multi-signature, notamment des transactions de jetons Meme, des échanges sur DEX et des opérations de pont inter-chaînes. Cela signifie que la clé multi-signature en environnement de production est connectée à un site web ordinaire, augmentant considérablement le risque d’attaques de phishing. Les critiques affirment que la gestion des clés privées de LayerZero est « comme celle d’un lycéen ».

En réponse, Bryan, co-fondateur de LayerZero, a déclaré que les signataires concernés ont été retirés, que les transactions étaient « des tests », et que la configuration par défaut est adaptée à des « équipes ne priorisant pas la sécurité », tout en soulignant que la majorité des applications majeures ont déjà changé, LayerZero encourage la sécurité des utilisateurs, mais ne tient pas responsable chaque application individuellement.