การแฮ็ก Kelp DAO ถูกโยงกับกลุ่ม Lazarus; eth.limo ถูกแย่งชิงโดเมนผ่านวิศวกรรมสังคม

ข้อความจาก Gate News วันที่ 20 เมษายน — LayerZero ปล่อยผลการค้นพบเบื้องต้นเกี่ยวกับการแฮ็ก Kelp DAO ที่เกิดขึ้นเมื่อวันที่ 18 เมษายน โดยระบุว่าการโจมตีนั้นเป็นฝีมือผู้ไม่หวังผลกำไรที่ได้รับการสนับสนุนจากรัฐอย่างมีความซับซ้อนสูง ซึ่งน่าจะเป็นกลุ่มย่อยของกลุ่ม Lazarus ของเกาหลีเหนือที่เรียกว่า TraderTraitor เหตุการณ์ดังกล่าวทำให้สูญเสียโทเค็น rsETH จำนวน 116,500 มูลค่าประมาณ $292 million ซึ่งนับเป็นการแฮ็กด้าน DeFi ที่ใหญ่ที่สุดในปีนี้

จากการสืบสวนของ LayerZero ผู้โจมตีเข้าถึงรายชื่อ RPC nodes ที่ใช้โดยเครือข่ายดีเซ็นทรัลไลซ์เวอร์ไฟเออร์ของ LayerZero Labs (DVN) ซึ่งเป็นระบบขององค์กรอิสระที่ทำหน้าที่ตรวจสอบข้อความข้ามสายโซ่ (cross-chain messages) โหนด 2 โหนดถูกแทรกให้ส่งข้อความที่เป็นการปลอมแปลง ขณะที่ผู้โจมตีได้เปิดฉากการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (distributed denial-of-service) ต่อโหนดที่ไม่ได้ถูกบุกรุกพร้อมกัน ข้อความปลอมถูกยอมรับเพราะ Kelp DAO ได้ตั้งค่าบริดจ์โดยใช้ DVN แบบ 1-of-1 เพียงชุดเดียวโดยไม่มีเวอร์ไฟเออร์สำรองเพื่อคอยตรวจจับหรือปฏิเสธธุรกรรมปลอม LayerZero เคยแนะนำให้ Kelp DAO กระจายการตั้งค่า DVN มาก่อนหน้านี้ เพื่อตอบสนอง LayerZero ประกาศว่าจะไม่ลงนามข้อความสำหรับแอปพลิเคชันที่ใช้การตั้งค่า 1/1 DVN อีกต่อไป และกำลังประสานงานกับหน่วยงานบังคับใช้กฎหมายเพื่อติดตามเงินที่ถูกขโมย

ในส่วนแยกต่างหาก Ethereum Name Service gateway eth.limo เปิดเผยว่า การแย่งชิงโดเมนของบริษัทในวันศุกร์ที่ 18 เมษายน เกิดจากการโจมตีด้วยวิศวกรรมสังคมที่มุ่งเป้าไปที่ผู้ให้บริการของบริษัท easyDNS ผู้โจมตีแอบอ้างเป็นสมาชิกทีมของ eth.limo และเริ่มกระบวนการกู้คืนบัญชี จนได้เข้าถึงบัญชี eth.limo และปรับแต่งการตั้งค่า DNS เพื่อเปลี่ยนเส้นทางทราฟฟิกไปยังโครงสร้างพื้นฐานที่ควบคุมโดย Cloudflare แพลตฟอร์มดังกล่าวให้บริการเว็บแบบกระจายอำนาจประมาณสองล้านเว็บไซต์ โดยใช้ระบบโดเมน .eth อย่างไรก็ตาม ส่วนขยายการรักษาความปลอดภัยระบบชื่อโดเมน (DNSSEC) ได้จำกัดความเสียหายโดยการเพิ่มการตรวจสอบทางคริปโทกราฟีลงในระเบียน DNS; เนื่องจากผู้โจมตีไม่มีคีย์การลงนามที่จำเป็น ตัวแก้ปัญหา DNS จำนวนมากจึงปฏิเสธระเบียนที่ถูกปรับแต่ง ทำให้การเปลี่ยนเส้นทางที่เป็นอันตรายไม่เกิดขึ้น CEO ของ EasyDNS Mark Jeftovic ยอมรับว่าการละเมิดครั้งนี้เป็นการโจมตีด้วยวิศวกรรมสังคมที่ประสบความสำเร็จครั้งแรกต่อไคลเอนต์ easyDNS ในประวัติ 28 ปีของบริษัท และระบุว่าบริษัทกำลังดำเนินการปรับปรุงด้านความปลอดภัยเพื่อป้องกันเหตุการณ์ลักษณะเดียวกัน