LayerZero présente ses excuses pour l'exploitation d'avril, expose de nouvelles mesures de sécurité pour la protection future.

Les excuses de LayerZero : un changement de discours

La société de protocole d’interopérabilité LayerZero a récemment présenté ses excuses concernant sa mauvaise gestion de l’exploitation du 18 avril, qui a entraîné le siphonnage de 292 millions de dollars à partir du pont rsETH de Kelp DAO. Cet incident s’est distingué non seulement par l’importance de la perte financière, mais aussi par l’implication de leur propre validateur, le seul vérificateur à avoir approuvé des transactions de grande valeur. LayerZero a depuis reconnu que ses actions étaient une erreur et a exprimé ses regrets de ne pas avoir suffisamment sécurisé son Réseau de Vérificateurs Décentralisé (DVN). Dans un billet de blog officiel débutant par des « excuses tardives », LayerZero a admis que ses nœuds RPC internes, utilisés par le DVN de LayerZero Labs, avaient été compromis par ce qu’ils estiment être des membres du Lazarus Group de Corée du Nord. Cette infiltration a faussé leur « source de vérité » pendant que leur fournisseur externe de RPC subissait simultanément une attaque DDoS. Ce qui est remarquable, c’est que le protocole n’a pas été affecté. Selon LayerZero, les développeurs devraient avoir la possibilité de choisir leur propre configuration de sécurité. Cependant, ils ont admis avoir commis une erreur en permettant à leur DVN de fonctionner comme une entité unique pour des transactions importantes. En raison du manque de surveillance sur ce que protégeait le DVN, une faille dans la gestion des risques est apparue. Désormais, LayerZero a pris ses responsabilités concernant ce manque de vigilance. Cet incident n’a impacté qu’environ 0,14 % des applications construites sur LayerZero et à peu près 0,36 % de la valeur totale des actifs sur le réseau. Notamment, la société rapporte que plus de 9 milliards de dollars ont transité par le protocole depuis l’incident du 19 avril.

Des excuses qui marquent une rupture avec la position précédente

Cette posture publique d’excuse contraste fortement avec la position initiale de LayerZero concernant cette situation. Auparavant, la société affirmait que le système avait parfaitement fonctionné et imputait la faute à la configuration manuelle de Kelp comme cause principale du problème. Kelp DAO avait alors exprimé son désaccord et révélé que LayerZero avait approuvé la configuration 1-sur-1 du DVN. Par la suite, Kelp DAO a annoncé vouloir remplacer son infrastructure de pont par le CCIP de Chainlink. Dans la foulée, Solv Protocol a déclaré son intention de déplacer plus de 700 millions de dollars en bitcoins tokenisés hors de LayerZero. En conséquence, plusieurs changements ont été mis en place. Pour commencer, le DVN de LayerZero Labs supprime les configurations DVN 1/1. En outre, des efforts sont fournis pour passer les paramètres par défaut de tous les canaux à 5/5, avec un minimum de 3/3 sur les chaînes où seulement trois DVN restent disponibles. Ce développement est important compte tenu d’une récente analyse ayant révélé que 47 % des OApps LayerZero actives conservaient une configuration 1-sur-1. Par ailleurs, LayerZero développe un second client DVN en Rust pour diversifier les clients, tout en réaménageant les quorums RPC pour un mélange de nœuds internes, externes dédiés et externes partagés.

LayerZero admet un incident antérieur non signalé

Fait intéressant, le billet de blog de LayerZero révèle aussi un événement antérieur non rapporté, survenu il y a environ trois ans et demi. À l’époque, un signataire multisig avait utilisé le portefeuille matériel multisig de LayerZero pour une transaction personnelle au lieu d’un appareil personnel. Après cet incident, le signataire a été remplacé et les portefeuilles ont été renouvelés. Dans ce contexte, des logiciels supplémentaires de détection d’anomalies ont été intégrés aux dispositifs de signature. La société a également dévoilé qu’elle a développé un multisig personnalisé nommé OneSig, et qu’elle va augmenter son seuil multisig de 3-sur-5 à un bien plus élevé 7-sur-10 sur toutes les chaînes prises en charge. OneSig effectue le hachage des transactions localement sur la machine du signataire pour éviter toute manipulation côté serveur. Il exécute également un contrôleur d’anomalies privé. De plus, LayerZero a indiqué qu’elle lancera prochainement Console, une plateforme pour permettre aux émetteurs d’actifs de surveiller les déploiements et d’effectuer les configurations nécessaires. Cette plateforme intègre une détection des DVN inconnus, des modifications de propriété et des configurations à risque. LayerZero a précisé qu’un rapport post-mortem officiel sera publié une fois l’audit de ses partenaires externes de sécurité finalisé. Il est à noter que l’exploitation du 18 avril n’a pas épargné Aave ; elle aurait laissé Aave avec une dette douteuse estimée entre 124 et 230 millions de dollars. Par conséquent, une coalition de protocoles DeFi a tracé une feuille de route technique afin de restaurer la garantie du rsETH. En conclusion, la réaction de LayerZero à l’exploit du 18 avril a connu des bouleversements notables. Le passage du rejet de responsabilité à la reconnaissance de ses propres erreurs, puis à la réforme des mesures de sécurité, témoigne de l’engagement de l’entreprise à garantir de meilleures pratiques à l’avenir. Cependant, seul le temps confirmera l’efficacité de ces mesures et l’impact sur la confiance des parties prenantes dans le protocole.

LayerZero présente ses excuses pour l’exploitation d’avril, expose de nouvelles mesures de sécurité pour la protection future.

Les excuses de LayerZero : un changement de discours

Des excuses qui marquent une rupture avec la position précédente

LayerZero admet un incident antérieur non signalé

Derniers messages de Élise Moreau

Derniers articles de la catégorie Guides sur les cryptomonnaies