Взлом KelpDAO, повлекший потери в размере $292 млн, был проведён северокорейскими хакерами из Lazarus Group, а именно подразделением TraderTraitor, подтвердили специалисты LayerZero.
Технический директор Ripple Дэвид Шварц написал, что «атака оказалась гораздо более изощрённой, чем я ожидал. Она была направлена на инфраструктуру LayerZero, используя преимущества «ленивой» архитектуры KelpDAO».
Группа Lazarus не использовала уязвимость в протоколе LayerZero. Вместо этого они атаковали инфраструктуру RPC, которую LayerZero DVN использовала для проверки транзакций.
Злоумышленники взломали два независимых узла RPC, заменили их бинарные файлы вредоносными версиями и настроили эти узлы таким образом, чтобы они показывали поддельные данные транзакций исключительно DVN, одновременно передавая точные данные всем остальным наблюдателям, включая собственные системы мониторинга LayerZero.
Для завершения атаки они одновременно провели DDoS-атаки на нескомпрометированные узлы, принудительно переключившись на заражённую инфраструктуру. После утечки данных вредоносная система самоуничтожилась, автоматически удалив все локальные журналы и конфигурации.
Вся операция длилась один час и двадцать минут. В итоге было украдено 116,500 rsETH на сумму $292 млн.
В собственных рекомендациях LayerZero указано, что требуется многоуровневая конфигурация DVN, требующая консенсуса между несколькими независимыми верификаторами. KelpDAO выбрала конфигурацию «один к одному» с LayerZero Labs в качестве единственного верификатора. Благодаря этому злоумышленникам было достаточно взлома одной скомпрометированной DVN.
Шварц указал на эту же закономерность во время оценки мостовых решений для RLUSD. Поставщики мостовых решений рекламируют свои самые надёжные функции безопасности, а затем отговаривают клиентов от их использования ради удобства.
Я думаю, что повсеместное списание средств с rsETH вполне вероятно, — добавил Шварц.
В LayerZero подтвердили, что больше не будет подписывать сообщения от приложений, использующих конфигурацию DVN 1/1.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
