Помните ли тот шокирующий случай кражи на сумму 2,92 миллиарда долларов в криптомире в прошлом году? До сих пор обе стороны продолжают обвинять друг друга, ситуация действительно немного неловкая.

Дело таково. В апреле прошлого года Kelp DAO подвергся хакерской атаке, в результате которой было украдено 116 500 rsETH, что стало крупнейшей кражей в DeFi в тот год. Позже расследование показало, что за этим стоит северокорейская хакерская группировка Лазарь. Эта организация ранее совершила множество крупных преступлений, и в этот раз их атака была очень профессиональной — они сначала взломали верификационный узел LayerZero DVN, подделали два RPC-узла, затем запустили DDoS-атаку на другие узлы и в итоге успешно обманули систему, подписав транзакцию на кражу средств.

LayerZero впоследствии опубликовала отчет расследования, прямо указав, что Kelp DAO использовал уязвимую конфигурацию «1-of-1 DVN», назвав это своего рода «взрывчаткой, заложенной в систему». Они также подчеркнули, что ранее неоднократно советовали Kelp распределить узлы, но их игнорировали.

После обвинений Kelp DAO резко ответила. Они в заявлении на X сообщили, что так называемая конфигурация единственной точки верификации — это стандартный вариант, прописанный в официальной документации LayerZero, а не их собственное решение. Kelp также заявила, что с января 2024 года использует инфраструктуру LayerZero, и коммуникация между сторонами всегда была налаженной. Когда расширялись на Layer 2, обсуждалась конфигурация DVN, и официальные представители LayerZero подтвердили, что эта настройка подходит.

Интересно, что обе стороны продолжают обвинять друг друга в этой уязвимости. В конце Kelp DAO подчеркнула, что они приняли срочные меры, приостановили соответствующие контракты и добавили кошелек хакера в черный список, тем самым взяли ситуацию под контроль. Что касается дальнейших планов по усилению безопасности, команда Kelp заявила, что они еще оценивают варианты.

С этой точки зрения, ситуация поднимает классический вопрос: кто же все-таки несет ответственность — поставщик инструментов за правильность конфигурации или пользователь за свои решения в области безопасности? Само по себе действие Лазаря не вызывает особых замечаний, но этот инцидент отражает некоторые глубокие проблемы в экосистеме DeFi.