Хак Kelp DAO, приписываемый группе Lazarus; домен eth.limo захвачен через социальную инженерию

Сообщение Gate News, 20 апреля — LayerZero опубликовала предварительные результаты по эксплойту Kelp DAO, произошедшему 18 апреля, приписав атаку крайне изощренному государственно поддерживаемому участнику угроз, вероятно, субгруппе Lazarus из Северной Кореи, известной как TraderTraitor. Инцидент привел к потере 116,500 токенов rsETH стоимостью примерно $292 миллиона, что стало крупнейшим эксплойтом DeFi в этом году.

Согласно расследованию LayerZero, злоумышленники получили доступ к списку RPC-узлов, используемых децентрализованной сетью верификаторов децентрализованного верификатора LayerZero Labs (DVN), системой независимых организаций, отвечающих за валидацию кроссчейн-сообщений. Два узла были отравлены, чтобы передать мошенническое сообщение, в то время как атакующие одновременно запустили распределенную атаку типа отказ в обслуживании против не скомпрометированных узлов. Подделанное сообщение было принято, потому что Kelp DAO настроила свой мост, используя единую схему 1-of-1 DVN без вторичного верификатора для обнаружения или отклонения мошеннической транзакции. Ранее LayerZero рекомендовала Kelp DAO диверсифицировать конфигурацию DVN. В ответ LayerZero объявила, что больше не будет подписывать сообщения для приложений, использующих конфигурации 1/1 DVN, и сотрудничает с правоохранительными органами для отслеживания похищенных средств.

Отдельно Ethereum Name Service шлюз eth.limo сообщил, что его захват домена в пятницу, 18 апреля, был вызван атакой через социальную инженерию, нацеленной на его поставщика услуг, easyDNS. Злоумышленник выдал себя за члена команды eth.limo и инициировал процесс восстановления учетной записи, получив доступ к аккаунту eth.limo и изменив настройки DNS, чтобы перенаправить трафик на инфраструктуру, контролируемую Cloudflare. Платформа обслуживает примерно два миллиона децентрализованных веб-сайтов, использующих систему доменов .eth. Однако Domain Name System Security Extension (DNSSEC) ограничила ущерб, добавив криптографическую проверку в DNS-записи; поскольку у атакующего не было требуемых ключей подписи, многие DNS-релизеры отклонили измененные записи, не допустив вредоносных перенаправлений. CEO EasyDNS Марк Джефт oвич признал утечку первой успешной атакой через социальную инженерию против клиента easyDNS в 28-летней истории компании и заявил, что компания внедряет улучшения безопасности, чтобы предотвратить подобные инциденты.