Quem deve pagar pela "configuração padrão"? Meio mês após o roubo do rsETH, o CEO da LayerZero "assumiu a responsabilidade de forma proativa"

null

Escrito por: Yangz, Techub News

No mundo Web3 que nunca dorme, 18 de abril parecia ser apenas um dia comum.
No entanto, para o setor de reempréstimo de liquidez e para toda a ecologia DeFi, uma “terremoto” que poderia entrar para os anais da história ocorreu silenciosamente na cadeia.
Em menos de uma hora, hackers (supostamente do Lazarus Group) usaram a ponte cross-chain do Kelp DAO para cunhar do nada 116.500 rsETH, avaliado em cerca de 292 milhões de dólares.
Considerando que o rsETH é amplamente utilizado como garantia, os hackers não venderam imediatamente, mas transferiram esses “certificados de ar” sem valor de suporte para protocolos de empréstimo tradicionais como Aave, obtendo aproximadamente 236 milhões de dólares em ETH, levando os principais protocolos como Aave a uma situação de inadimplência grave.

Esta não é a primeira vez que uma ponte cross-chain sofre um ataque, mas desta vez abriu uma ferida que há muito tempo assola a indústria Web3:
Quando a infraestrutura básica (camada de protocolo) e a camada de aplicação (camada superior) entram em vácuo na sua transição, quem deve pagar pelos bilhões de ativos desaparecidos?

Nas mais de três semanas seguintes, essa crise evoluiu para um confronto público sobre tecnologia, responsabilidade e poder.
Desde o início de “culpar um ao outro” até hoje, com o CEO da LayerZero assumindo a responsabilidade de forma proativa, podemos dizer que essa fase marca o fim de uma disputa sobre os limites da responsabilidade.

O fatal “1/1 DVN”

Para entender essa disputa, é preciso analisar as táticas de ataque do hacker.
Curiosamente, o ataque não se originou de uma vulnerabilidade complexa em contratos inteligentes, mas de um parâmetro de configuração: o DVN 1-de-1.

Esse chamado DVN, ou seja, a rede de validadores descentralizados, é o componente responsável por validar mensagens cross-chain na arquitetura LayerZero V2.
A configuração 1-de-1 significa que: apenas uma assinatura de um validador é suficiente para que a mensagem cross-chain seja considerada legítima e executada.
Pior ainda, o controle dessa “chave” não está totalmente nas mãos do Kelp, mas depende do nó RPC subjacente.
O hacker, por meio de envenenamento do nó RPC e ataque DDoS, sequestrou esse único nó de validação, enviando registros falsos de destruição na cadeia de origem.
O validador acreditou, assinou, e essa grande quantidade de ativos surgiu do nada.

Então, quem realmente deve assumir a culpa por esse “DVN 1/1”?

Conflito de responsabilidades: duas lógicas em choque

Nos primeiros momentos após o ataque, a opinião pública inicialmente culpou a LayerZero.
Nas redes sociais, havia zombarias contra o Kelp DAO: como uma das principais plataformas gerenciando bilhões de dólares, usar uma “chave de validação única” de papel era quase imperdoável.

No entanto, quando, em 21 de abril, o Kelp publicou uma “declaração oficial”, uma reviravolta dramática na opinião pública ocorreu.
O ponto central do argumento do Kelp foi uma frase: se a documentação oficial e a configuração padrão são perigosas, a responsabilidade recai sobre quem escreveu a documentação e definiu os valores padrão.
Não foi um erro de configuração do usuário, mas uma “falha de orientação” do próprio produto.
Apesar do CEO da LayerZero, Bryan Pellegrino, enfatizar várias vezes que essa é uma escolha da camada de aplicação e não uma vulnerabilidade do protocolo, o foco da acusação mudou de “ineficiência” do Kelp para a “arrogância sistêmica” da LayerZero — que, ciente dos riscos na configuração padrão, ainda a usou como exemplo padrão para entrada rápida.

Além disso, a voz de desenvolvedores terceiros também ampliou a controvérsia.
Banteg, desenvolvedor principal do Yearn, descobriu por meio de uma revisão técnica que o guia de entrada rápida do LayerZero V2 usa essa configuração perigosa de validação única como padrão em Ethereum, BNB Chain, Polygon, Arbitrum e Optimism.
Zach Rynes, responsável pela comunidade Chainlink, criticou de forma mais contundente: acusou a LayerZero de tratar os usuários que seguem suas diretrizes oficiais como “bodes expiatórios”, tentando esconder a vulnerabilidade de sua infraestrutura diante de ataques de hackers de alto nível.

Então, quem está certo ou errado?
Na verdade, ambos estão parcialmente certos e parcialmente errados.
A essência dessa disputa é um choque de duas lógicas:
Uma é a “ética do geek”: ferramentas são neutras, e os usuários devem assumir responsabilidade por suas escolhas.
A outra é o “princípio de segurança padrão”: o estado de fábrica do produto deve estar na condição mais segura possível.
Os usuários podem optar por reduzir a barreira de entrada por conveniência, mas o produto não deve guiá-los para o perigo.