David Schwartz, CTO Emeritus tại Ripple, đã xác định một mẫu hình trong các lỗ hổng bảo mật của cầu nối sau khi cầu rsETH của Kelp DAO bị khai thác với khoảng $292 triệu. Trong quá trình đánh giá các hệ thống chuyển tiếp DeFi cho việc sử dụng RLUSD, Schwartz nhận thấy rằng các nhà cung cấp cầu nối luôn hạ thấp mức ưu tiên cho các cơ chế bảo mật mạnh nhất của họ để đổi lấy sự tiện lợi; ông tin rằng mẫu hình này có thể đã góp phần vào sự cố tại Kelp DAO.
Lời Chào Bán Các Tính Năng Bảo Mật
Trong phần phân tích được ông chia sẻ trên X, Schwartz mô tả cách các nhà cung cấp cầu nối đã giới thiệu các tính năng bảo mật nâng cao một cách nổi bật, rồi ngay lập tức đề xuất rằng các tính năng đó là tùy chọn. “Về cơ bản, họ đã khuyến nghị rằng không nên sử dụng các cơ chế bảo mật quan trọng nhất vì chúng có chi phí về sự tiện lợi và độ phức tạp trong vận hành,” ông viết.
Schwartz nhận xét rằng trong các cuộc thảo luận đánh giá RLUSD, các nhà cung cấp nhấn mạnh sự đơn giản và khả năng thêm nhiều chuỗi “với giả định ngầm rằng chúng tôi sẽ không bận tâm sử dụng các tính năng bảo mật tốt nhất mà họ có.” Ông tóm tắt sự mâu thuẫn: “Chiêu chào bán của họ là họ có các tính năng bảo mật tốt nhất nhưng lại dễ dùng và có thể mở rộng, với điều kiện là bạn không sử dụng các tính năng bảo mật.”
Điều Gì Đã Xảy Ra Với Kelp DAO
Vào ngày 19 tháng 4, Kelp DAO đã xác định hoạt động xuyên chuỗi đáng ngờ liên quan đến rsETH và tạm dừng các hợp đồng trên toàn bộ mainnet và nhiều mạng Layer 2. Khoảng 116.500 rsETH đã bị rút cạn thông qua các lệnh gọi hợp đồng liên quan đến LayerZero, trị giá vào khoảng $292 triệu theo giá hiện tại.
Phân tích on-chain từ D2 Finance truy ra nguyên nhân gốc rễ là rò rỉ khóa cá nhân trên chuỗi nguồn, từ đó tạo ra vấn đề về niềm tin với các nút OApp mà kẻ tấn công đã khai thác để thao túng cầu.
Cấu Hình Bảo Mật LayerZero
Bản thân LayerZero cung cấp các cơ chế bảo mật vững chắc, bao gồm các mạng xác minh phi tập trung. Schwartz giả thuyết rằng một phần của vấn đề có thể bắt nguồn từ việc Kelp DAO lựa chọn không sử dụng các tính năng bảo mật quan trọng cốt lõi của LayerZero “vì sự tiện lợi”.
Các nhà điều tra đang xem xét liệu Kelp DAO có cấu hình việc triển khai LayerZero của mình theo một thiết lập bảo mật tối thiểu—cụ thể là một điểm lỗi duy nhất với LayerZero Labs làm bên xác minh duy nhất—thay vì sử dụng các tùy chọn phức tạp hơn nhưng đáng kể là an toàn hơn sẵn có thông qua giao thức.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Sàn Crypto Nga Grinex Ngừng Hoạt Động Sau $13M Vụ Tin Tặc, Đe Dọa Mạng Lưới Né Tránh Trừng Phạt
Sàn giao dịch tiền điện tử Grinex của Nga đã ngừng hoạt động sau một cuộc tấn công mạng gây ra khoản lỗ vượt $13 triệu USD. Việc đóng cửa ảnh hưởng đến khả năng của các doanh nghiệp Nga trong việc chuyển đổi ruble ra quốc tế và tạo ra thách thức cho hệ thống tài chính ngầm của quốc gia này.
GateNews1giờ trước
Vụ hack Kelp DAO bị quy cho Lazarus; eth.limo bị chiếm quyền điều khiển miền qua kỹ thuật xã hội
LayerZero cho biết vụ khai thác (exploit) của Kelp DAO, được cho là do Nhóm Lazarus của Triều Tiên thực hiện, đã dẫn đến việc mất $292 triệu token rsETH do các lỗ hổng trong mạng lưới bộ xác minh phi tập trung của nó. Ngoài ra, eth.limo đã gặp tình trạng chiếm quyền điều khiển miền (domain hijacking) từ một cuộc tấn công kỹ thuật xã hội, nhưng DNSSEC đã giảm thiểu thiệt hại nghiêm trọng.
GateNews6giờ trước
Vụ hack DeFi gây dòng tiền rút $9 tỷ từ Aave khi các token bị đánh cắp được dùng làm tài sản thế chấp
Một vụ hack gần đây đã rút gần $300 triệu từ một dự án crypto, dẫn đến khủng hoảng thanh khoản trên Aave, khiến người dùng rút khoảng $9 tỷ. Những lo ngại về chất lượng tài sản thế chấp đã thúc đẩy các đợt rút hàng loạt, nêu bật rủi ro trong cho vay DeFi.
GateNews6giờ trước
Cuộc tấn công lừa đảo Ethereum chiếm đoạt $585K Từ bốn người dùng, một nạn nhân mất $221K WBTC
Một cuộc tấn công lừa đảo Ethereum có phối hợp đã chiếm đoạt $585,000 từ bốn nạn nhân, lợi dụng quyền truy cập của người dùng thông qua một liên kết lừa đảo. Sự việc này nhấn mạnh việc mất tiền nhanh chóng thông qua kỹ thuật lừa đảo xã hội, ngay cả khi kẻ giả danh mang vỏ bọc hợp pháp.
GateNews8giờ trước
Hãy chú ý đến nội dung ký kết! Vercel bị tấn công tống tiền 2 triệu USD, cảnh báo về an toàn bảo mật của front-end trong các giao thức mã hóa
Nền tảng phát triển đám mây Vercel đã bị tin tặc xâm nhập vào ngày 19 tháng 4. Kẻ tấn công đã giành quyền truy cập thông qua một công cụ AI bên thứ ba được nhân viên sử dụng, đồng thời đe dọa tống tiền 2 triệu USD. Mặc dù dữ liệu nhạy cảm không bị truy cập, nhưng có thể đã bị khai thác các dữ liệu khác. Sự việc này đã dấy lên mối lo ngại về an ninh trong cộng đồng tiền mã hóa; hiện tại Vercel đang tiến hành điều tra và khuyến nghị người dùng thay đổi khóa.
ChainNewsAbmedia10giờ trước
KelpDAO mất $290M trong cuộc tấn công LayerZero của Lazarus Group
KelpDAO phải chịu khoản lỗ $290 triệu do một sự cố xâm nhập bảo mật tinh vi liên quan đến Tập đoàn Lazarus. Cuộc tấn công đã khai thác các điểm yếu trong cấu hình của hệ thống xác minh của họ và làm nổi bật rủi ro khi dựa vào một thiết lập xác minh chỉ tại một điểm. Các chuyên gia trong ngành nhấn mạnh sự cần thiết phải cải thiện cấu hình bảo mật và sử dụng cơ chế xác minh nhiều lớp để ngăn các sự cố trong tương lai.
CryptoFrontier10giờ trước
