Tout le monde a blâmé Kelp jusqu'à ce que le « paramètre par défaut » s'avère être la véritable vulnérabilité.👇

L'équipe @KelpDAO a publié leur analyse de l'exploitation.
Et honnêtement, le récit de CT semble incomplet, le blâmant sur une mauvaise conception de Kelp.
Mais quand on regarde vraiment de près, ce n'est en fait pas ça.
D'abord, la configuration dont tout le monde parle, le 1/1 DVN.
Il y a des éléments que les gens ignorent.
> 1/1 DVN est la configuration par défaut dans la documentation LayerZero & GitHub
> 40 % des protocoles utilisent exactement cette configuration
Donc Kelp n'a pas fait quelque chose d'exotique.
Ils ont suivi le chemin standard que la plupart des développeurs suivraient lors de l'intégration.
Je pense que la question que tout le monde devrait se poser est :
> pourquoi une configuration comme celle-ci était-elle la valeur par défaut au départ ?
Je veux dire, tout le monde optera sûrement pour la configuration par défaut lors du déploiement, non ?
Et c'est aussi quelque chose que LayerZero recommande aux autres.
Ce n'était pas seulement un choix de configuration faible, cela a exposé un modèle de vérification cassé.
La deuxième partie concerne la conscience.
LayerZero connaît très bien la configuration de leur écosystème, ce qui signifie :
> ils pouvaient voir quels protocoles utilisaient le 1/1 DVN
> ils pouvaient voir à quel point cette configuration était répandue
Si 40 % de l'écosystème utilise une infrastructure, cela devrait faire l'objet d'une revue de sécurité constante.
Mais il n'y a eu aucune de ces vérifications, aucune mise à jour ni garde-fous.
Aucune migration forcée loin des paramètres par défaut non sécurisés.
Cela dépasse une erreur au niveau de l'application.
Il est grand temps que les protocoles adoptent des contrôles de sécurité constants.
La sécurité inter-chaînes n'est aussi forte que sa faiblesse en matière de vérification.
Donc oui, ce n'est pas une situation « Kelp mauvais » contre « tout le monde est bon ».
Des paramètres par défaut risqués, une adoption large, et aucune enforcement ont finalement conduit à la défaillance.
La responsabilité est partagée, mais la surface de risque est systémique.
Vous devriez consulter le rapport complet ici :