LayerZero entschuldigt sich für April-Exploit, skizziert neue Sicherheitsmaßnahmen für zukünftigen Schutz

LayerZeros Entschuldigung: Ein Wandel in der Darstellung

Das Interoperabilitätsprotokoll-Unternehmen LayerZero hat kürzlich Entschuldigungen für den Missbrauch des Exploits am 18. April geäußert, der zu einem Verlust von 292 Millionen US-Dollar aus der rsETH-Bridge von Kelp DAO führte. Dieser Vorfall war nicht nur wegen des erheblichen finanziellen Schadens bemerkenswert, sondern auch wegen der Beteiligung ihres eigenen Validators als einzigem Prüfer, der Transaktionen mit hohem Wert durchsetzte. LayerZero hat inzwischen eingeräumt, dass ihr Vorgehen ein Fehler war, und bedauert, ihr Dezentrales Verifizierer-Netzwerk (DVN) nicht ausreichend gesichert zu haben. In einem offiziellen Blogbeitrag, der mit einer „überfälligen Entschuldigung“ begann, gab LayerZero zu, dass seine internen RPC-Knoten, die vom LayerZero Labs DVN genutzt wurden, von Personen kompromittiert wurden, die sie für Mitglieder der Lazarus-Gruppe aus Nordkorea halten. Diese Infiltration vergiftete ihre „Wahrheitsquelle“, während ihr externer RPC-Anbieter gleichzeitig Opfer eines DDoS-Angriffs wurde. Bemerkenswert ist, dass das Protokoll davon nicht betroffen war. Laut dem Protokoll-Unternehmen sollten Entwickler in der Lage sein, ihre eigenen Sicherheitskonfigurationen auszuwählen. Sie gaben jedoch zu, einen Fehler gemacht zu haben, indem sie ihrem DVN erlaubten, als einzelnes System für Transaktionen mit hohem Wert zu agieren. Aufgrund des Mangels an Überwachung darüber, was das DVN tatsächlich absicherte, entstand eine Risikomanagement-Lücke. Künftig übernimmt LayerZero die Verantwortung für diese Versäumnisse. Dieser Vorfall betraf lediglich etwa 0,14 % der auf LayerZero aufgebauten Anwendungen und ungefähr 0,36 % des Gesamtwerts der Vermögenswerte im Netzwerk. Bemerkenswerterweise berichtet das Unternehmen, dass nach dem Vorfall am 19. April über 9 Milliarden US-Dollar durch das Protokoll transferiert wurden.

Entschuldigung steht für einen Kurswechsel

Diese öffentliche Entschuldigung unterscheidet sich deutlich von LayerZeros bisherigen Darstellungen des Vorfalls. Zuvor hatte das Protokoll-Unternehmen behauptet, das System habe einwandfrei funktioniert und machte Kelps manuelle Konfiguration als Hauptursache für das Problem verantwortlich. Kelp DAO widersprach dieser Darstellung öffentlich und teilte mit, dass LayerZero die 1-zu-1-DVN-Konfiguration genehmigt hatte. In der Folge kündigte Kelp DAO an, seine Bridge-Infrastruktur auf Chainlinks CCIP umzustellen. Danach erklärte das Solv Protocol seine Absicht, bitcoin-basierte Token-Technologie im Wert von mehr als 700 Millionen US-Dollar von LayerZero abzuziehen. Infolgedessen wurden verschiedene Änderungen vorgenommen. Zum einen wird das LayerZero Labs DVN 1/1-DVN-Konfigurationen abschaffen. Außerdem werden alle Standardkonfigurationen in allen Pfaden auf 5/5 umgestellt, mit einer Basis von 3/3 auf Ketten – insbesondere dort, wo nur drei DVNs verfügbar sind. Dieses Vorgehen ist bedeutsam, angesichts einer aktuellen Analyse, die ergab, dass 47 % der aktiven LayerZero OApps eine 1-zu-1-Konfiguration verwendeten. Darüber hinaus entwickelt LayerZero derzeit einen zweiten DVN-Client in Rust, um mehr Vielfalt auf Client-Seite zu schaffen, und passt zudem die RPC-Quoren an, um eine Mischung aus internen, dedizierten externen und gemeinsam genutzten externen Knoten zu ermöglichen.

LayerZero gibt einen bisher nicht gemeldeten Vorfall zu

Interessanterweise enthüllte LayerZeros Blogpost auch ein zuvor nicht offengelegtes Ereignis, das sich rund dreieinhalb Jahre zuvor ereignet hat. Damals nutzte ein Multisig-Unterzeichner LayerZeros Multisig-Hardware-Wallet für eine persönliche Transaktion, anstatt ein eigenes Gerät dafür zu verwenden. Nach diesem Vorfall wurde der Unterzeichner entfernt und die Wallets wurden rotiert. In diesem Zusammenhang wurde zusätzliche Software zur Anomalie-Erkennung auf den Signiergeräten eingeführt. Das Protokoll-Unternehmen gab zudem bekannt, dass es eine eigene Multisig-Lösung namens OneSig entwickelt hat und den Multisig-Schwellenwert von bisher 3-von-5 auf künftig 7-von-10 auf allen unterstützten Ketten erhöhen wird. OneSig führt die Transaktions-Hashing-Operationen lokal auf dem Rechner des Unterzeichners aus, um Manipulationen im Backend zu verhindern. Zudem läuft ein privater Anomalie-Checker. Darüber hinaus kündigte LayerZero an, in Kürze Console einzuführen; eine Plattform für Asset-Issuer, um Deployments zu überwachen und notwendige Konfigurationen vorzunehmen. Console verfügt über eine integrierte Erkennung für unbekannte DVNs, Änderungen der Eigentümerstrukturen und riskante Konfigurationen. LayerZero erklärte, dass ein offizieller Bericht nach Abschluss der Untersuchungen durch externe Sicherheitspartner veröffentlicht wird. Interessanterweise verschonte der Exploit vom 18. April auch Aave nicht; nach Berichten entstand bei Aave eine geschätzte Fehllast zwischen 124 und 230 Millionen US-Dollar. Folglich hat ein Bündnis aus DeFi-Protokollen einen technischen Fahrplan erstellt, um die Deckung von rsETH wiederherzustellen. Zusammenfassend hat LayerZeros Reaktion auf den Exploit vom 18. April einen erheblichen Wandel durchlaufen. Der Übergang von Schuldzuweisungen zum Eingeständnis eigener Fehler und die darauffolgende Reform sicherheitsrelevanter Maßnahmen zeugen vom Bemühen des Unternehmens, künftig bessere Implementierungen zu gewährleisten. Ob diese Maßnahmen tatsächlich wirksam sind und wie sich dies auf das Vertrauen der Stakeholder ins Protokoll auswirkt, wird jedoch nur die Zeit zeigen.

LayerZero entschuldigt sich für April-Exploit, skizziert neue Sicherheitsmaßnahmen für zukünftigen Schutz

LayerZeros Entschuldigung: Ein Wandel in der Darstellung

Entschuldigung steht für einen Kurswechsel

LayerZero gibt einen bisher nicht gemeldeten Vorfall zu

Letzte Beiträge von Felix Schneider

Neueste Beiträge aus der Kategorie Leitfäden zu Kryptowährungen