LayerZero Mengakui Kesalahan pada Pengaturan Single-Verifier Setelah Eksploit Kelp DAO

LayerZero mengeluarkan permintaan maaf publik atas penanganannya terhadap dampak dari eksploit 18 April yang menguras sekitar $292 juta dalam rsETH dari jembatan cross-chain milik Kelp DAO. Permintaan maaf ini menandai perubahan nada yang signifikan dari post-mortem LayerZero sebelumnya, yang menggambarkan protokol tersebut “berfungsi persis seperti yang diinginkan”.

Permintaan Maaf dan Pengakuan Kesalahan

LayerZero mengakui kegagalan operasional yang kritis dalam sebuah posting blog yang diterbitkan pada Jumat: “Kami telah melakukan pekerjaan yang buruk dalam komunikasi selama tiga minggu terakhir. Kami ingin memprioritaskan kelengkapan dalam bentuk post-mortem yang komprehensif, tetapi seharusnya kami memimpin dengan ketegasan.”

Yang paling menonjol, protokol mengakui bahwa seharusnya tidak membiarkan Decentralized Verifier Network (DVN) miliknya menjadi satu-satunya verifier untuk transaksi bernilai tinggi. “Kami percaya pengembang harus memilih konfigurasi keamanan mereka sendiri, tetapi kami membuat kesalahan dengan mengizinkan DVN kami bertindak sebagai 1/1 DVN untuk transaksi bernilai tinggi,” tulis perusahaan. “Kami tidak mengawasi apa yang diamankan DVN kami, yang menciptakan risiko yang sama sekali tidak kami lihat.”

Ini merupakan pembalikan yang signifikan dari pernyataan awal LayerZero tentang insiden, yang menempatkan kesalahan sepenuhnya pada pilihan konfigurasi Kelp DAO, dengan menyebut setup 1-of-1 DVN sebagai keputusan yang Kelp ambil bertentangan dengan panduan.

Detail Teknis Eksploit

LayerZero mengatakan node RPC internal miliknya, yang digunakan DVN untuk membaca status rantai sumber, telah dikompromikan oleh Lazarus Group dari Korea Utara. Para penyerang menyusupi data feed pada node-node tersebut sembari meluncurkan serangan DDoS terhadap penyedia RPC eksternal LayerZero, memaksa DVN beralih ke infrastruktur yang terkompromi dan menandatangani transaksi yang sebenarnya tidak pernah terjadi. LayerZero sebelumnya mengaitkan serangan itu ke subkelompok Lazarus yang dikenal sebagai TraderTraitor.

Sengketa Kelp DAO dan Konteks Industri

Kelp DAO secara publik membantah tuduhan awal LayerZero, menunjuk ke dokumentasi, panduan quickstart, dan contoh pengembang milik LayerZero sendiri sebagai bukti bahwa setup single-verifier adalah rekomendasi default untuk onboarding platform. Analisis Dune yang dikutip oleh Kelp menemukan bahwa 47% dari sekitar 2.665 kontrak LayerZero OApp aktif menjalankan konfigurasi yang sama pada saat serangan.

LayerZero mengakui cakupannya terbatas: eksploit itu menargetkan satu aplikasi, yang mewakili kira-kira 0,14% dari total aplikasi di jaringan dan sekitar 0,36% dari nilai aset yang menggunakan LayerZero. Lebih dari $9 miliar telah dipindahkan melalui protokol tersebut sejak 19 April.

Insiden Keamanan Signer Multisig

LayerZero mengungkap insiden keamanan operasional yang sebelumnya tidak dilaporkan. Sekitar tiga setengah tahun lalu, salah satu penandatangan multisig LayerZero menggunakan hardware wallet produksi mereka untuk mengeksekusi perdagangan pribadi, dengan maksud menggunakan perangkat pribadi terpisah. LayerZero mengatakan penanda tersebut dikeluarkan dari multisig, wallet diputar, dan sejak saat itu perusahaan menambahkan perangkat lunak deteksi anomali ke masing-masing perangkat penandatangan.

Pengungkapan ini muncul di tengah sorotan terpisah yang sedang berlangsung terhadap keamanan operasional para signer multisig LayerZero. Peneliti onchain dan figur keamanan, termasuk penghubung komunitas Chainlink Zach Rynes, menandai bukti bahwa kunci multisig produksi digunakan untuk aktivitas DEX yang tidak terkait, termasuk apa yang tampak sebagai pertukaran untuk memecoin McPepes di Uniswap. CEO LayerZero Bryan Pellegrino mengatakan transaksi itu adalah OFT testing oleh mantan signer yang sejak itu dikeluarkan.

Perubahan Infrastruktur dan Keamanan yang Direncanakan

LayerZero menguraikan beberapa perubahan yang diterapkan sejak eksploit:

• LayerZero Labs DVN tidak lagi melayani konfigurasi 1/1 DVN
• Pengaturan default pada semua jalur sedang dimigrasikan untuk mewajibkan setidaknya lima verifier bila memungkinkan, dengan batas bawah tiga pada chain yang hanya menyediakan tiga DVN
• Klien DVN kedua yang ditulis dalam Rust sedang dibangun untuk keberagaman klien
• Konfigurasi RPC telah diatur ulang untuk memungkinkan kontrol kuorum yang lebih granular di seluruh penyedia node internal dan eksternal

Dari sisi infrastruktur, LayerZero berencana menaikkan ambang multisig mereka sendiri dari 3-of-5 menjadi 7-of-10 menggunakan OneSig, alat multisig open-source yang diperkenalkan perusahaan tahun lalu. OneSig memungkinkan signer mengunduh transaksi dan meng-hash-nya secara lokal sebelum penandatanganan, sehingga mencegah backend menyisipkan transaksi tanpa otorisasi. LayerZero juga membangun platform bernama Console bagi penerbit aset untuk mengonfigurasi dan memantau pengaturan keamanan, dengan deteksi anomali bawaan untuk menandai konfigurasi berisiko.

Migrasi Protokol dan Tekanan Kompetitif

Permintaan maaf ini datang pada momen yang sulit bagi LayerZero. Dua protokol besar telah memigrasikan infrastruktur cross-chain mereka ke Chainlink CCIP dalam beberapa minggu sejak eksploit. Kelp DAO mengumumkan kepulangannya awal pekan ini, menjadi protokol besar pertama yang meninggalkan LayerZero sejak peretasan. Solv Protocol menyusul, mengumumkan bahwa mereka akan memindahkan lebih dari $700 juta dalam bitcoin tokenisasi dari LayerZero, dengan mengutip kekhawatiran keamanan.

Upaya Pemulihan

Sementara itu, inisiatif pemulihan DeFi United yang dibentuk sebagai respons pasca-eksploit telah menghimpun lebih dari $300 juta dalam ETH dan stablecoin. LayerZero berkontribusi 10.000 ETH, dibagi antara donasi 5.000 ETH dan pinjaman 5.000 ETH kepada Aave, yang menghadapi perkiraan utang buruk senilai $124 juta hingga $230 juta akibat insiden tersebut. Arbitrum DAO memilih untuk melepas 30.766 ETH yang dibekukan ke upaya pemulihan, dan seorang hakim mengizinkan transfer berlanjut meskipun ada pemberitahuan penahanan dari korban terorisme dan kreditur Korea Utara.

LayerZero mengatakan post-mortem resmi akan menyusul setelah mitra keamanan eksternalnya menyelesaikan pekerjaan mereka.