LayerZero ขออภัยสำหรับการถูกโจมตีในเดือนเมษายน และบรรยายเกี่ยวกับมาตรการรักษาความปลอดภัยใหม่เพื่อการป้องกันในอนาคต

คำขอโทษของ LayerZero: การเปลี่ยนแปลงในการชี้แจง

บริษัทผู้พัฒนาโปรโตคอลเพื่อความสามารถในการทำงานร่วมกัน LayerZero ได้ออกคำขอโทษเมื่อเร็วๆ นี้เกี่ยวกับการจัดการที่ผิดพลาดต่อเหตุการณ์เจาะระบบเมื่อวันที่ 18 เมษายน ซึ่งส่งผลให้เกิดการสูญเสียมูลค่า 292 ล้านดอลลาร์จากสะพาน rsETH ของ Kelp DAO เหตุการณ์นี้เป็นที่สะดุดตาไม่เพียงเพราะความเสียหายทางการเงินที่มากเท่านั้น แต่ยังมีเจ้าหน้าที่ตรวจสอบของ LayerZero เองที่เป็นผู้อนุมัติธุรกรรมมูลค่าสูงแต่เพียงผู้เดียว LayerZero ยอมรับว่า การกระทำของตนเป็นความผิดพลาด และได้แสดงความเสียใจที่ไม่ได้ป้องกันเครือข่ายผู้ตรวจสอบแบบกระจายอำนาจ (DVN) อย่างพอเพียง ในบล็อกโพสต์อย่างเป็นทางการที่เปิดด้วย “คำขอโทษอันล่าช้า” LayerZero ยอมรับว่าโหนด RPC ภายในที่ LayerZero Labs DVN ใช้งานอยู่ถูกแทรกซึมโดยผู้ที่เชื่อว่าเป็นสมาชิกของกลุ่ม Lazarus จากเกาหลีเหนือ การแทรกซึมนี้ได้ทำลาย “แหล่งข้อมูลจริง” ในขณะที่ผู้ให้บริการ RPC ภายนอกของพวกเขากำลังถูกโจมตี DDoS พร้อมกัน สิ่งที่น่าสังเกตคือ โปรโตคอลของพวกเขาไม่ได้ถูกกระทบกระเทือน ตามที่บริษัทโปรโตคอลรายงาน นักพัฒนาควรมีความสามารถในการกำหนดค่าความปลอดภัยด้วยตนเอง อย่างไรก็ตาม พวกเขายอมรับว่าทำผิดพลาดที่ปล่อยให้ DVN ของตนดำเนินการเป็นเอกเทศในการทำธุรกรรมมูลค่าสูง เนื่องจากขาดการตรวจตราในสิ่งที่ DVN ดูแล ทำให้เกิดช่องว่างในด้านการจัดการความเสี่ยง จากนี้ไป LayerZero รับผิดชอบในความบกพร่องนี้ เหตุการณ์นี้มีผลกระทบกับแอปพลิเคชันที่สร้างบน LayerZero ราว 0.14% เท่านั้น และประมาณ 0.36% ของมูลค่าทรัพย์สินทั้งหมดบนเครือข่าย น่าสังเกตว่าบริษัทรายงานว่ามีเงินมากกว่า 9 พันล้านดอลลาร์ผ่านโปรโตคอลตั้งแต่เหตุการณ์ในวันที่ 19 เมษายน

คำขอโทษแสดงถึงการเปลี่ยนจุดยืนจากเดิม

ท่าทีขอโทษต่อสาธารณะครั้งนี้ แตกต่างอย่างมากจากจุดยืนของ LayerZero ก่อนหน้านี้ เดิมทีบริษัทโปรโตคอลยืนยันว่าส่วนของระบบใช้งานได้อย่างไร้ข้อผิดพลาดและโยนความผิดให้กับการตั้งค่าด้วยตนเองของ Kelp ว่าเป็นสาเหตุหลักของปัญหา Kelp DAO จึงตอบโต้โดยเปิดเผยว่า LayerZero เป็นผู้อนุมัติการตั้งค่า 1-of-1 DVN เอง หลังจากนั้น Kelp DAO ประกาศว่าจะเปลี่ยนโครงสร้างสะพานไปใช้ CCIP ของ Chainlink ในการเคลื่อนไหวต่อมา Solv Protocol ก็ประกาศแผนย้ายเทคโนโลยีโทเคนบิทคอยน์กว่า 700 ล้านดอลลาร์ออกจาก LayerZero จากเหตุการณ์นี้จึงนำไปสู่การเปลี่ยนแปลงหลายอย่าง เบื้องต้น LayerZero Labs DVN ได้ยกเลิกการกำหนดค่า 1/1 DVN และกำลังปรับเปลี่ยนค่าเริ่มต้นในทุกเส้นทางเป็น 5/5 พร้อมด้วยขั้นพื้นฐานที่ 3/3 ในเชน โดยเฉพาะในกรณีที่มี DVN เพียงสามชุดซึ่งเป็นการพัฒนาที่สำคัญเนื่องจากผลวิเคราะห์ล่าสุดพบว่า 47% ของ LayerZero OApps ปัจจุบันยังคงใช้การตั้งค่า 1-of-1 นอกจากนี้ LayerZero กำลังพัฒนาไคลเอนต์ DVN ตัวที่สองด้วยภาษา Rust เพื่อเพิ่มความหลากหลาย และปรับแต่งกลุ่มโหวตรับรอง RPC ให้ผสมผสานระหว่างโหนดภายใน, ภายนอกเฉพาะ และภายนอกที่ใช้ร่วมกัน

LayerZero ยอมรับเหตุการณ์ที่ไม่เคยเปิดเผยมาก่อน

นอกจากนี้ บล็อกโพสต์ของ LayerZero ยังได้เปิดเผยเหตุการณ์ที่ไม่เคยรายงานมาก่อนเมื่อประมาณสามปีครึ่งที่แล้ว ในตอนนั้นผู้ลงนามมัลติซิกหนึ่งรายได้ใช้ฮาร์ดแวร์วอลเล็ตมัลติซิกของ LayerZero ในการทำธุรกรรมส่วนตัว แทนที่จะเลือกใช้อุปกรณ์ส่วนตัว หลังจากเหตุการณ์นี้จึงมีการถอดถอนผู้ลงนามคนนั้นออกและหมุนเวียนวอลเล็ตทั้งระบบ เพื่อตอบสนองจึงได้เพิ่มซอฟต์แวร์ตรวจจับความผิดปกติในอุปกรณ์สำหรับลงนามธุรกรรม บริษัทโปรโตคอลยังเปิดเผยว่ามีการพัฒนา multi-sig เฉพาะกิจชื่อ OneSig และจะเพิ่มระดับขั้นต่ำในการอนุมัติธุรกรรมจาก 3 ใน 5 เป็น 7 ใน 10 บนทุกเชนที่รองรับ OneSig ทำการแฮชธุรกรรมบนเครื่องของผู้ลงนามเองเพื่อป้องกันการแก้ไขจาก backend พร้อมทั้งมีเครื่องมือตรวจสอบความผิดปกติแบบส่วนตัว นอกจากนี้ LayerZero ยังประกาศว่าจะเปิดตัว Console แพลตฟอร์มที่ช่วยผู้ออกสินทรัพย์ควบคุมการดีพลอยและกำหนดค่าที่จำเป็น อีกทั้งมีฟีเจอร์ตรวจจับอัตโนมัติสำหรับ DVN ที่ไม่รู้จัก การเปลี่ยนแปลงความเป็นเจ้าของ และการตั้งค่าที่มีความเสี่ยง LayerZero ระบุว่าจะมีการจัดทำรายงาน post-mortem อย่างเป็นทางการหลังจากพาร์ทเนอร์ด้านความปลอดภัยภายนอกดำเนินการเสร็จสิ้น น่าสนใจว่าเหตุการณ์เจาะระบบเมื่อวันที่ 18 เมษายนนี้ยังส่งผลกระทบต่อ Aave ด้วย โดยมีรายงานว่า Aave มีหนี้เสียจากเหตุการณ์นี้ตั้งแต่ 124 ล้านดอลลาร์จนถึง 230 ล้านดอลลาร์ ส่งผลให้พันธมิตรของโปรโตคอล DeFi หลายแห่งร่วมกันวางแผนฟื้นฟูการสนับสนุน rsETH โดยสรุป การตอบสนองของ LayerZero ต่อเหตุการณ์เจาะระบบวันที่ 18 เมษายนมีการเปลี่ยนแปลงอย่างชัดเจน ตั้งแต่การปฏิเสธความรับผิดชอบไปสู่การยอมรับความผิดพลาด และตามมาด้วยมาตรการความปลอดภัยชุดใหม่ ซึ่งเป็นสัญญาณแสดงถึงความมุ่งมั่นของบริษัทในการดำเนินงานที่ดียิ่งขึ้นในอนาคต อย่างไรก็ตาม เวลาจะเป็นเครื่องพิสูจน์ประสิทธิผลของมาตรการเหล่านี้และผลกระทบต่อความเชื่อมั่นของผู้มีส่วนได้ส่วนเสียในระบบโปรโตคอล