2.92 миллиарда долларов — крупное дело, в итоге обе стороны начали взаимно обвинять друг друга, ситуация стала довольно интересной.

Вернувшись к 18 апреля, когда Kelp DAO был взломан и украдено 116 500 rsETH, что стало крупнейшим кражей в DeFi в этом году. После этого LayerZero выпустил отчет о расследовании, в котором указал, что за этим, скорее всего, стоит северокорейская группировка Лазарь. Их методы довольно технические — сначала взломали сеть верификационных узлов LayerZero DVN, атаковали 2 RPC-узла, затем запустили DDoS-атаку на остальные узлы, вынудив систему переключиться на поддельные узлы, и в итоге подписали фальшивую межцепочную транзакцию.

Но тут начинается самое интересное. В отчете LayerZero резко раскритиковал Kelp за использование крайне уязвимой конфигурации «1 из 1 DVN», заявив, что это фактически минирует таймер для одиночной точки отказа, полностью неспособной блокировать ложную информацию. Они также сказали, что давно советовали Kelp распределить узлы, но те не слушали.

Kelp DAO, услышав это, сразу разозлился и в понедельник ответил. Они заявили, что так называемая «одинарная конфигурация верификационных узлов» вообще прописана в официальной документации LayerZero и является стандартным вариантом по умолчанию для новых токенов OFT. Kelp уже с января 2024 года работает на LayerZero, и стороны постоянно общались, при расширении на Layer 2 даже специально обсуждали этот вопрос, при этом официальные представители LayerZero тогда подтвердили, что эта конфигурация подходит.

Вот тут становится неловко. Одни говорят: «Мы давно советовали вам изменить», другие — «Вы сами говорите, что это стандартная конфигурация, и подтверждали, что всё в порядке». Истина, похоже, не совсем ясна посторонним.

Но, возвращаясь к ситуации, реакция Kelp оказалась достаточно быстрой: они сразу приостановили соответствующие контракты, внесли в черный список кошельки хакеров, и ситуация была взята под контроль. Сейчас команда оценивает дальнейшие меры по усилению безопасности и стремится как можно скорее возобновить работу. Этот инцидент напомнил всему сообществу, что конфигурация межцепочной безопасности — дело не шуточное, и к ней нужно подходить со всей ответственностью.