Ключевые выводы:
- Взлом криптовалюты Kelp DAO на сумму $290 млн. был связан с Lazarus Group и TraderTraitor.
- Установка с одним верификатором позволила использовать эксплойт через скомпрометированные узлы RPC.
- Атака спровоцировала стресс Aave, проблемы с плохими долгами и риски rsETH.
После масштабного взлома криптовалюты Kelp DAO на сумму 290 миллионов долларов компания LayerZero опубликовала свои первые выводы. Блокчейн-платформа связала криптоэксплойт с печально известной северокорейской Lazarus Group. Результаты исследования также показали, что криптовалютная афера коренится в системе с одним верификатором, которая является ключевой уязвимостью, стоящей за взломом.
LayerZero связывает взлом криптовалюты Kelp с критической слабостью в настройках
В отчете, опубликованном 20 апреля, компания LayerZero отметила, что злоумышленники, участвовавшие во взломе криптовалюты Kelp DAO, скомпрометировали два узла RPC. Криптоэксплойт разворачивался через скоординированную атаку на сеть верификаторов. В отчете говорится,
“Предварительные показатели позволяют предположить, что авторство принадлежит очень искушенному государственному актору, скорее всего, группе Lazarus Group КНДР, а точнее TraderTraitor”.
Злоумышленники также запустили распределенную атаку типа “отказ в обслуживании” (DDoS) на оставшиеся здоровые узлы. Это вынудило систему полагаться на скомпрометированные узлы. Такое сочетание манипуляций с узлами и нарушения работы сети сыграло решающую роль в успехе атаки.
Еще один крупный инцидент, о котором сообщалось сегодня, – это мошенничество с криптовалютой Vercel, которое, к счастью, привело к нулевым финансовым потерям.
Нет резерва – нет защиты: внутри дефекта DAO от Kelp
В основе взлома криптовалюты лежало решение Kelp DAO работать без системы мультиверификаторов. LayerZero отметил, что такая установка создавала явную единую точку отказа. Проще говоря, не было никакой подстраховки.
Компания заявила, что уже советовала Kelp DAO использовать несколько верификаторов для снижения риска. Но эти рекомендации не были выполнены.
Без какого-либо резервирования злоумышленникам приходилось использовать уязвимость через единственный канал, чтобы успешно завершить эксплойт. Это дало злоумышленникам возможность отправить мошенническое межцепочечное сообщение без его независимой проверки.
В данном случае Kelp DAO использовала механизм 1-оф-1 DVN. Это означало, что система использовала только один верификатор, не имея резервного. Когда злоумышленники отправили поддельное сообщение, не было никакой дополнительной проверки, которая могла бы выявить проблему. Это заставило протокол принять сообщение и выпустить токены.
Из приведенного выше примера видно, что полагаться на один-единственный механизм проверки – значит подвергать протокол DeFi значительным рискам. Протокол может потерять много средств, если не будет достаточно осторожен.
Стоит ли Lazarus Group за взломом криптовалюты Kelp DAO?
Помимо обнаружения дефекта, LayerZero также намекнул на возможную связь северокорейской Lazarus Group со взломом криптовалюты Kelp DAO.
В частности, платформа связана с дочерней компанией группы, TraderTraitor. Эта группа хорошо известна тем, что атакует криптоплатформы. В прошлом она стояла за несколькими крупными атаками, включая масштабные DeFi эксплойты.
Протокольного заражения нет, но последствия распространяются на Ааве
Компания LayerZero пояснила, что эксплойт Kelp DAO не повлиял на ее широкую экосистему. По словам команды, “заражение” других межцепочечных активов или приложений “нулевое”. Это означает, что проблема была изолирована от настройки Kelp DAO. Скомпрометированные узлы RPC уже полностью удалены и заменены. LayerZero Labs DVN снова работает.
Тем не менее, даже если основной протокол не был скомпрометирован, последствия этого взлома продолжают вызывать резонанс во всем пространстве DeFi. Поскольку действия хакера оказали чрезмерное давление на другие системы, такие как Aave, протокол был вынужден бороться с безнадежными долгами и подвержен риску кражи токенов rsETH.
