#Gate13thAnniversaryLive L'anatomie de l'exploit

Alors que l'impact a été ressenti dans tout l'écosystème, la "vulnérabilité technique" que vous avez mentionnée était spécifiquement une erreur de configuration du vérificateur 1-sur-1 dans l'architecture inter-chaînes de KelpDAO (propulsée par LayerZero).
Le vecteur d'attaque : Les attaquants (liés par des cabinets de sécurité au groupe Lazarus) ont utilisé une attaque DDoS sophistiquée pour faire tomber des nœuds RPC légitimes. Cela a forcé un "basculement" vers des nœuds malveillants qu'ils contrôlaient.
La "métamorphose" : En contrôlant la source de données, ils ont trompé un seul vérificateur pour autoriser la libération de 116 500 rsETH (environ. $292 million).
La stratégie : Le hacker a rapidement déposé les actifs volés dans Aave V3 en tant que garantie pour emprunter du ETH enveloppé "propre", créant un trou de dette massif pour le protocole de prêt avant qu'il ne puisse être gelé.
L'intervention "chirurgicale" d'Arbitrum
Vous avez noté que le mouvement de l'ETH était "restreint". Pour être précis, le Conseil de sécurité d'Arbitrum (un organisme de 12 membres) a pris la mesure sans précédent d'exécuter une action d'urgence pour déplacer 30 766 ETH (d'une valeur d'environ ~$71M) hors de l'adresse du hacker. Le paradoxe "sécurité vs décentralisation"
Le débat que vous avez mentionné est actuellement à son apogée.
Les pragmatistes : Argumentent que "DeFi a gagné" parce que $71 un million a été récupéré d'un groupe de hackers sponsorisé par l'État. Sans ce filet de sécurité "centralisé", ces fonds seraient probablement déjà dans un mixer.
Les puristes : Soutiennent que si un conseil peut "se faire passer pour le hacker" pour déplacer des fonds sans clé privée, la "résistance à la censure" du réseau est un mythe. Comme le disent certains critiques, "S'ils peuvent le faire à un hacker, ils peuvent le faire à vous."
Et après ?
L'équipe de KelpDAO travaille actuellement sur des mécanismes de compensation, mais puisque seulement environ 25 % des fonds volés ont été récupérés par Arbitrum (le reste ayant été déplacé vers d'autres chaînes), le chemin pour rendre les utilisateurs 100 % indemnes reste difficile.
Cet incident a effectivement mis fin à l'ère du "aller vite et casser des choses" pour les conseils de sécurité L2. Nous assistons maintenant à une poussée massive pour des vérificateurs multi-signatures et des coupe-circuits automatisés qui ne dépendent pas de l'intervention humaine.