Dlaczego mosty cross-chain są najsłabszym ogniwem DeFi po hacku Kelp DAO na 293 mln USD

Mosty kryptowalutowe wracają na pierwszy plan — i nie z dobrych powodów.

Sobotni exploit Kelp DAO o wartości 293 milionów dolarów wywindował bezpieczeństwo mostów na szczyt uwagi branży kryptowalutowej, mówi Ari Redbord, globalny szef ds. polityki i relacji rządowych w TRM Labs.

„Gdy model bezpieczeństwa emitenta wartego 300 milionów dolarów sprowadza się do klucza podpisującego jednego walidatora, powierzchnia ataku przestaje być techniczna i staje się strukturalna" — napisał w niedzielę.

Analiza dotyczy atakującego, który wypompował 116 500 rsETH — około 18% podaży tokena w obiegu — uruchamiając funkcję w systemie przesyłania komunikatów międzyłańcuchowych LayerZero. Mówiąc prościej, atakujący wysłał fałszywą wiadomość informującą, że pieniądze dotarły do mostu Kelp z innego blockchaina. Most uwierzył w sygnał i uwolnił tokeny.

Kelp DAO to protokół płynnego restakingu zbudowany na Ethereum, który pozwala użytkownikom zarabiać zarówno standardowe nagrody ze stakingu, jak i dodatkowy zysk z restakingu poprzez EigenLayer.

Gdy użytkownicy deponują kwalifikujące się tokeny, otrzymują rsETH, zbywalny zasób, który może być używany na platformach DeFi, podczas gdy bazowe fundusze nadal zabezpieczają wiele sieci. W efekcie struktura pozwala inwestorom utrzymywać kapitał produktywny bez jego blokowania, zachowując płynność przy jednoczesnym generowaniu zwrotów warstwowych.

Atak dodaje się do straty w wysokości 286 milionów dolarów, którą poniósł Drift 1 kwietnia, podnosząc straty DeFi w tym miesiącu do ponad 550 milionów dolarów.

Jak działają mosty?

Most międzyłańcuchowy to oprogramowanie łączące różne blockchainy, takie jak Ethereum i Arbitrum.

Gdy użytkownicy przenoszą tokeny między łańcuchami, most blokuje oryginalne tokeny i tworzy odpowiadające im tokeny w nowym łańcuchu. Ten proces zależy od walidatorów — zaufanych komputerów potwierdzających, czy transakcja blockchain jest autentyczna.

Most został oszukany, wierząc, że fałszywa wiadomość z innego blockchaina jest prawdziwa, więc uwolnił tokeny, których nigdy nie powinien był uwolnić. Ponieważ tylko jeden walidator był skonfigurowany do zatwierdzania tych wiadomości, pojedynczy punkt awarii umożliwił atakującemu odblokowanie setek milionów dolarów.

Konfiguracja Kelp podobno opierała się na zdecentralizowanej sieci weryfikacyjnej 1/1, czyli DVN. Oznacza to, że pojedynczy walidator miał uprawnienia do zatwierdzania wiadomości międzyłańcuchowych. Gdy ten walidator został skompromitowany lub oszukany, cały system zaufał fałszywemu sygnałowi.

„Promień rażenia" rozszerzył się poza Kelp. Aave, SparkLend, Fluid i Upshift wstrzymały rynki powiązane z rsETH, powiedział Redbord.

Samo Aave odnotowało ponad 5,4 miliarda dolarów wypłat etheru, gdy użytkownicy starali się ograniczyć ekspozycję, dodał.

Dwie dodatkowe próby wypompowania kolejnych 100 milionów dolarów zostały zablokowane po tym, jak awaryjny portfel wielopodpisowy Kelp zamroził kontrakty w ciągu 46 minut.

„Odpowiedzią jest skupienie się na obronie: zróżnicowane zestawy walidatorów na warstwach przesyłania komunikatów, monitorowanie w czasie rzeczywistym przepływów mint i burn, szybko działające wielopodpisy wstrzymujące oraz międzyprotokołowe podręczniki zakładające zarażenie" — napisał Redbord.

„Kwiecień był ciężkim miesiącem dla twórców DeFi".

Lance Datskoluo jest europejskim korespondentem rynkowym DL News. Masz informację? Napisz do niego na lance@dlnews.com