Perselisihan LayerZero semakin dalam setelah $290 juta rsETH jembatan tersedot

Kelp DAO menantang penjelasan layerzero tentang $290 juta rsETH jembatan yang dieksploitasi, berpendapat bahwa kegagalan berasal dari pengaturan default platform sendiri, bukan dari konfigurasi yang tidak biasa. Sengketa kini berpusat pada siapa yang mengendalikan kunci, kode, dan peringatan.

Apa yang terjadi dalam eksploitasi

Pada hari Sabtu, penyerang menguras 116.500 rsETH, senilai sekitar $290 juta, dari jembatan yang didukung LayerZero milik Kelp setelah meracuni server yang digunakan untuk memverifikasi transfer. Serangan tersebut tidak menyentuh kontrak restaking inti Kelp, dan penghentian darurat dilakukan 46 menit kemudian.

Penghentian itu memblokir dua upaya lanjutan yang akan melepaskan tambahan sekitar $200 juta rsETH. Selain itu, sumber yang akrab dengan tanggapan Kelp mengatakan bahwa pelanggaran tetap terbatas pada lapisan jembatan.

Bagaimana Kelp menjelaskan pengaturan tersebut bekerja

Kelp berencana untuk berargumen bahwa DVN yang dikompromikan adalah infrastruktur milik LayerZero sendiri, bukan verifikator pihak ketiga yang dipilih oleh protokol. Memo yang ditinjau oleh CoinDesk menyebutkan bahwa serangan menggunakan server LayerZero yang memeriksa apakah transaksi lintas rantai sah.

Namun, sumber Kelp mengatakan bahwa server cadangan dibanjiri lalu lintas sampah, yang mendorong verifikator ke node yang dikompromikan. Semua infrastruktur tersebut dibangun dan dijalankan oleh LayerZero, kata sumber tersebut.

Protokol juga membantah klaim bahwa mereka mengabaikan panduan untuk beralih dari pengaturan verifikator tunggal. Melalui saluran komunikasi langsung yang dibuka sejak Juli 2024, Kelp mengatakan tidak menerima rekomendasi khusus untuk mengubah konfigurasi DVN rsETH.

Mengapa konfigurasi ini menjadi perhatian

Post-mortem LayerZero menyatakan bahwa KelpDAO memilih pengaturan DVN 1-dari-1 meskipun ada rekomendasi untuk menggunakan redundansi multi-DVN. Dalam praktiknya, konfigurasi 1/1 berarti satu validator dapat menyetujui pesan lintas rantai sendiri, sementara pengaturan multi-validator mengurangi risiko kegagalan titik tunggal.

Selain itu, sumber Kelp mengatakan bahwa panduan cepat LayerZero dan konfigurasi default GitHub mengarah ke struktur 1/1 yang sama. Sumber tersebut menambahkan bahwa 40% protokol di LayerZero saat ini menggunakan pengaturan tersebut.

Konfigurasi yang sama muncul dalam LayerZero’s V2 OApp Quickstart, di mana contoh layerzero.config.ts menetapkan satu DVN yang diperlukan dan tidak ada DVN opsional. Itu adalah model yang diikuti Kelp.

Kritikus mengatakan kesalahan penempatan

Para peneliti keamanan juga menanggapi. Pengembang tim inti Yearn Finance Artem K, yang dikenal di X sebagai @banteg, mengatakan bahwa kode deployment publik LayerZero menggunakan default verifikasi sumber tunggal di seluruh Ethereum, BSC, Polygon, Arbitrum, dan Optimism.

Dia juga mencatat bahwa deployment meninggalkan endpoint publik yang terbuka, yang membocorkan daftar server yang dikonfigurasi kepada siapa saja yang menanyakannya. Meski begitu, dia mengatakan tidak bisa membuktikan konfigurasi apa yang digunakan Kelp.

Manajer komunitas Chainlink Zach Rynes lebih tajam di X, menuduh LayerZero mengalihkan tanggung jawab dan melempar Kelp ke bawah bus karena mempercayai pengaturan yang didukung oleh LayerZero sendiri. Dia mengatakan perusahaan berusaha mengalihkan kesalahan dari infrastruktur mereka yang dikompromikan.

CoinDesk menghubungi LayerZero untuk komentar dan belum menerima balasan saat publikasi. Sementara itu, LayerZero berjanji akan berhenti menandatangani pesan untuk aplikasi yang menggunakan pengaturan verifikator tunggal, yang akan memaksa migrasi yang lebih luas di seluruh jaringannya.

Pada akhirnya, pertarungan atas insiden layerzero ini tidak lagi hanya tentang satu jembatan. Ini telah menjadi ujian dokumentasi, default, dan akuntabilitas dalam keamanan lintas rantai.