LayerZero verontschuldigt zich voor April Exploit, schetst nieuwe beveiligingsmaatregelen voor toekomstige bescherming

LayerZero’s Verontschuldiging: Een Verschuiving in Verklaring

Het interoperabiliteitsprotocolbedrijf LayerZero heeft onlangs excuses aangeboden voor hun verkeerde aanpak van de exploit op 18 april die resulteerde in het wegsluizen van $292 miljoen van de rsETH-brug van Kelp DAO. Dit incident viel op, niet alleen vanwege het grote financiële verlies, maar ook door de betrokkenheid van hun eigen validator als enige verificateur die grote transacties goedkeurde. LayerZero heeft sindsdien erkend dat hun handelen een fout was en heeft spijt betuigd over het onvoldoende beveiligen van hun Decentralized Verifier Network (DVN). In een officiële blogpost, die begon met een ’te late verontschuldiging’, gaf LayerZero toe dat hun interne RPC-nodes, gebruikt door de LayerZero Labs DVN, waren gecompromitteerd door wat zij vermoeden leden van de Noord-Koreaanse Lazarus Group te zijn. Deze infiltratie vergiftigde hun ‘bron van de waarheid’ terwijl hun externe RPC-provider gelijktijdig werd getroffen door een DDoS-aanval. Opmerkelijk is dat het protocol niet werd aangetast. Volgens het protocolbedrijf zouden ontwikkelaars de mogelijkheid moeten hebben om hun eigen beveiligingsconfiguraties te kiezen. Ze gaven echter toe een fout te hebben gemaakt door hun DVN als enkele entiteit te laten opereren voor transacties met hoge waarde. Door het gebrek aan toezicht op wat de DVN beschermde, ontstond er een blinde vlek in het risicomanagement. Voortaan neemt LayerZero de verantwoordelijkheid voor dit over het hoofd zien. Dit incident trof slechts ongeveer 0,14% van de applicaties gebouwd op LayerZero en ongeveer 0,36% van de totale waarde aan activa op het netwerk. Opmerkelijk is dat het bedrijf heeft gemeld dat er sinds het incident op 19 april meer dan $9 miljard via het protocol is verhandeld.

Verontschuldiging Betekent Een Afwijking van Eerdere Houding

Deze publieke verontschuldiging verschilt sterk van LayerZero’s eerdere duiding van de situatie. Eerder beweerde het protocolbedrijf dat het systeem vlekkeloos had gefunctioneerd en gaf het de schuld aan Kelp’s handmatige configuratie als oorzaak van het probleem. In reactie hierop was Kelp DAO het openlijk oneens met deze lezing en onthulde dat LayerZero de 1-op-1 DVN-configuratie had goedgekeurd. Aansluitend verklaarde Kelp DAO dat het de bruginfrastructuur zou wijzigen naar Chainlink’s CCIP. Vervolgens kondigde Solv Protocol aan voornemens te zijn om meer dan $700 miljoen aan getokeniseerde bitcointechnologie van LayerZero weg te halen. Als gevolg hiervan zijn er verschillende veranderingen doorgevoerd. Om te beginnen schaft LayerZero Labs DVN de 1/1 DVN-configuraties af. Ook wordt er gewerkt aan het standaardiseren van alle routes naar 5/5, met een basisniveau van 3/3 op ketens; vooral waar maar drie DVN’s beschikbaar zijn. Deze ontwikkeling is opvallend gezien een recente analyse aantoonde dat 47% van de actieve LayerZero OApps een 1-op-1 configuratie hanteerde. Daarnaast is LayerZero bezig met de ontwikkeling van een tweede DVN-client in Rust voor meer diversiteit, en het herconfigureren van RPC-quorums naar een mix van interne, dedicated-externe en gedeelde-externe nodes.

LayerZero Geeft Eerder Niet-Gerapporteerd Incident Toe

Interessant genoeg onthulde de blogpost van LayerZero ook een eerder niet-gerapporteerde gebeurtenis van ongeveer drieënhalf jaar geleden. Toen gebruikte een multisig-ondertekenaar LayerZero’s multisig-hardware wallet voor een persoonlijke transactie in plaats van een persoonlijk apparaat. Na dit incident werd de ondertekenaar verwijderd en werden de wallets vervangen. In lijn hiermee is er extra anomaliedetectiesoftware toegevoegd aan de ondertekeningsapparaten. Het protocolbedrijf maakte ook bekend een aangepaste multisig genaamd OneSig te hebben ontwikkeld en zal het multisigdrempel verhogen van de bestaande 3-op-5 naar een veel hogere 7-op-10 op alle ondersteunde ketens. OneSig voert transactie-hashing lokaal uit op het apparaat van de ondertekenaar om manipulatie aan de achterkant te voorkomen. Het voert ook een privé anomaliechecker uit. Verder zegt LayerZero binnenkort Console te lanceren; een platform voor asset-uitgevers om implementaties te monitoren en eventuele aanpassingen te maken. Het beschikt over ingebouwde detectie voor onbekende DVN’s, wijzigingen in eigenaarschap en risicovolle configuraties. LayerZero geeft aan dat er een officieel post-mortem beschikbaar wordt gesteld zodra hun externe beveiligingspartners hun taken hebben afgerond. Opmerkelijk genoeg werd Aave niet gespaard door de exploit van 18 april; naar verluidt bleef Aave achter met een geschatte slechte schuld van $124 miljoen tot $230 miljoen. Daarom heeft een coalitie van DeFi-protocollen een technische routekaart uitgestippeld om de dekking van rsETH te herstellen. Kortom, LayerZero’s reactie op de exploit van 18 april heeft aanzienlijke veranderingen ondergaan. De overgang van het afschuiven van schuld naar het erkennen van fouten, en daaropvolgend het verbeteren van beveiligingsmaatregelen, is een teken van de toewijding van het bedrijf aan betere toekomstige implementaties. Echter, alleen de tijd zal uitwijzen of deze maatregelen effectief zijn en welk effect ze hebben op het vertrouwen van stakeholders in het protocolsysteem.

LayerZero verontschuldigt zich voor April Exploit, schetst nieuwe beveiligingsmaatregelen voor toekomstige bescherming

LayerZero’s Verontschuldiging: Een Verschuiving in Verklaring

Verontschuldiging Betekent Een Afwijking van Eerdere Houding

LayerZero Geeft Eerder Niet-Gerapporteerd Incident Toe

Laatste berichten door Poppy Van Dijk

Laatste berichten uit de categorie Gidsen over cryptovaluta