Чи пам’ятаєте ви минулорічний скандал у криптосфері з крадіжкою на 2,92 мільярда доларів? До цього часу обидві сторони досі звинувачують один одного, ситуація справді трохи незручно.

Так от, справа була такою. У квітні минулого року Kelp DAO зазнав хакерської атаки, внаслідок якої було викрадено 116 500 rsETH, що стало найбільшим крадіжкою у DeFi того року. Пізніше розслідування показало, що за цим стоїть ймовірно північнокорейська хакерська організація Лазарь. Ця організація раніше вчиняла багато великих злочинів, і цього разу їхній напад був досить професійним — спочатку вони зламали верифікаційний вузол LayerZero DVN, підкинули шкідливий код до двох RPC-вузлів, потім почали DDoS-атаки на інші вузли, і врешті-решт вдалося обманути систему підписання транзакцій на крадіжку.

LayerZero незабаром опублікував звіт розслідування, у якому прямо звинуватив Kelp DAO у використанні такої вразливої конфігурації «1-із-1 DVN», назвавши це буквально «часовою бомбою» у системі. Вони також наголосили, що раніше кілька разів радили Kelp розподілити конфігурацію вузлів, але їх ігнорували.

Після звинувачень Kelp DAO активно відповіли. Вони опублікували заяву в X, де сказали, що так звану конфігурацію односторонньої верифікації — це стандартний варіант, прописаний у офіційній документації LayerZero, і вони не встановлювали її навмисно. Kelp також зазначили, що з січня 2024 року використовують інфраструктуру LayerZero, і комунікація між сторонами була постійною. Обговорювали конфігурацію DVN і при розширенні до Layer 2, і тоді офіційні представники LayerZero підтвердили, що ця настройка є прийнятною.

Цікаво, що обидві сторони продовжують звинувачувати один одного у цій безпеційному прорізі. Kelp DAO наполягли, що вони вжили термінових заходів — тимчасово зупинили відповідні контракти і додали хакерський гаманець до чорного списку, щоб взяти ситуацію під контроль. Що стосується подальших заходів щодо підсилення безпеки, команда Kelp повідомила, що вони ще оцінюють можливі рішення.

З одного боку, ця історія ставить класичне питання: чи несе відповідальність постачальник інструментів за правильний вибір конфігурації користувачів, чи самі користувачі мають відповідати за безпеку? Самі дії Лазаря тут особливо нічого не мають сказати, але ця хвиля звинувачень відображає глибші проблеми у екосистемі DeFi.