LayerZero เผชิญคดีเรียกค่าเสียหาย 292 ล้านดอลลาร์ หลังสินทรัพย์เกือบ 15 พันล้านดอลลาร์ย้ายออก

Evercrest Technologies ฟ้อง LayerZero Labs บริษัทในเครือของบริษัทในแคนาดา และ Bryan Pellegrino ซีอีโอของบริษัทต่อศาลในบริติชโคลัมเบีย จากเหตุโจมตี rsETH มูลค่า 292 ล้านดอลลาร์ในเดือนเมษายน คำฟ้องกล่าวหาว่ามีการแถลงข้อมูลโดยประมาทเลินเล่อ ความประมาทเลินเล่อ และการหมิ่นประมาท พร้อมเรียกค่าเสียหายเชิงลงโทษและค่าเสียหายที่ร้ายแรงขึ้น ผู้ใช้ Kelp ถอนเงินมากกว่า 650 ล้านดอลลาร์นับตั้งแต่เกิดการโจมตี Pellegrino เรียกคดีนี้ว่าไร้มูล โครงการที่เชื่อมโยงกับสินทรัพย์ราว 14.5 พันล้านดอลลาร์ประกาศย้ายจาก LayerZero ไปยัง CCIP ของ Chainlink ภายในวันที่ 4 ส.ค. โดย BitGo คิดเป็นมูลค่าราว 7.4 พันล้านดอลลาร์ผ่าน WBTC BitGo ระบุให้ CCIP เป็นผู้ให้บริการข้ามเชนแต่เพียงผู้เดียวสำหรับ WBTC เมื่อวันที่ 18 เม.ย. ผู้โจมตีหลอกตัวตรวจสอบของ LayerZero ให้อนุมัติการโอนข้ามเชนปลอม รายงานเหตุการณ์ของ LayerZero ระบุว่าการบุกรุกมีต้นเหตุมาจากนักพัฒนารายหนึ่งซึ่งถูกหลอกล่อทางสังคมให้โคลนคลัง GitHub ที่เป็นอันตรายในเดือนมีนาคม ผู้โจมตีเข้าถึงสภาพแวดล้อม RPC ของ LayerZero และทำให้โหนดภายใน 2 โหนดปนเปื้อน รวมถึงทำให้ผู้ให้บริการ RPC ภายนอกออฟไลน์ จากนั้นตัวตรวจสอบได้ลงนามในข้อความที่สร้างขึ้นจากข้อมูลต้นทางของเชนที่เป็นเท็จ การโจมตีทำให้ rsETH จำนวน 116,500 หน่วยออกจากบริดจ์ของ Kelp บริดจ์ของ Kelp กำหนดให้ต้องได้รับการอนุมัติจากตัวตรวจสอบเพียงรายเดียวของ LayerZero การตรวจสอบลายเซ็นบนเชนของ LayerZero ทำงานตามที่ออกแบบไว้ เนื่องจากลายเซ็นนั้นถูกต้อง แต่ลายเซ็นรับรองข้อมูลที่เป็นเท็จ รายงานของ LayerZero ระบุว่าข้อกำหนดเรื่องตัวตรวจสอบเป็นความรับผิดชอบของแอปพลิเคชัน ส่วนชั้น RPC ที่ถูกเจาะระบบเป็นความรับผิดชอบของ LayerZero ในฐานะผู้ดำเนินการ Evercrest กล่าวหาว่า LayerZero ได้ตรวจสอบและอนุมัติการตั้งค่าที่ใช้ตัวตรวจสอบเพียงรายเดียวเป็นลายลักษณ์อักษร Evercrest ระบุว่า LayerZero บอกกับ Kelp ในเดือนกุมภาพันธ์ 2024 ว่าการตั้งค่าเริ่มต้นไม่มีปัญหา คดีนี้ยังกล่าวหาว่า LayerZero เตือน USDT0 ถึงความเสี่ยงของการตั้งค่าตัวตรวจสอบเริ่มต้น แต่ไม่ได้ให้คำเตือนในลักษณะเดียวกันแก่ Kelp ข้อกล่าวหาเหล่านี้ยังไม่ได้รับการพิสูจน์ในศาล LayerZero ระบุว่า Kelp เคยใช้การตั้งค่าแบบสองในสองมาก่อน และต่อมาเปลี่ยนเป็นการตั้งค่าแบบหนึ่งในหนึ่ง ปัจจุบันตัวตรวจสอบของ LayerZero จะปฏิเสธการลงนามในช่องทางใดก็ตามที่กำหนดให้ตัวตรวจสอบเป็นผู้ลงนามเพียงรายเดียว บริษัทกำหนดให้ใช้แหล่ง RPC อิสระหลายแหล่งจากผู้ให้บริการและภูมิภาคทางภูมิศาสตร์หลายแห่ง ภายในวันที่ 4 ส.ค. LayerZero ได้เปลี่ยนเส้นทางเริ่มต้นใน endpoint ทั้งสองเวอร์ชันให้มีตัวตรวจสอบอย่างน้อย 3 ราย แอปพลิเคชันยังสามารถสร้างการตั้งค่าแบบกำหนดเองในระดับโปรโตคอลได้ LayerZero ระบุในเดือนพฤษภาคมว่าการอนุญาตให้ตัวตรวจสอบทำงานเพียงลำพังในการโอนมูลค่าสูงเป็นความผิดพลาด LayerZero ระบุว่าเหตุการณ์ดังกล่าวส่งผลกระทบต่อแอปพลิเคชันราว 0.14% บนเครือข่ายของบริษัท Mantle, rsETH ของ Kelp และ Lombard เพิ่มเงินหลายพันล้านดอลลาร์ให้กับยอดรวมการย้าย Chainlink ประเมินยอดรวมไว้ใกล้ 15 พันล้านดอลลาร์ Kelp ระบุว่าการย้ายของบริษัทเองยังอยู่ระหว่างดำเนินการ ดังนั้นมูลค่าที่ประกาศกับการโอนที่เสร็จสมบูรณ์จึงเป็นตัวชี้วัดคนละแบบ คณะกรรมการโทเคนมั่นคงของรัฐไวโอมิงย้ายโทเคน FRNT ที่ออกโดยรัฐออกจาก LayerZero ในเดือนสิงหาคม คณะกรรมการลงนามในข้อตกลงหลายปีเพื่อให้ CCIP เป็นผู้ให้บริการข้ามเชนแต่เพียงผู้เดียว Keith Lawhorn ประธานเจ้าหน้าที่รักษาความปลอดภัยสารสนเทศของคณะกรรมการ ระบุเมื่อวันที่ 14 ก.ย. ว่าการทบทวนเริ่มขึ้นเนื่องจากการโจมตี Kelp เขากล่าวว่าการทบทวนพบปัญหาเกี่ยวกับการควบคุมการเข้าถึง การจัดการคีย์ส่วนตัว และการเปิดเผยข้อมูลเหตุการณ์ LayerZero โต้แย้งข้อค้นพบดังกล่าวบางส่วน LayerZero ยังคงเป็นเครือข่ายที่ครอบคลุม 96 เชน DefiLlama รายงานว่าปริมาณธุรกรรมผ่านบริดจ์ของ LayerZero อยู่ที่ 9.5 พันล้านดอลลาร์ในช่วง 30 วันที่ผ่านมา ศาลในบริติชโคลัมเบียจะเป็นผู้ตัดสินว่าฝ่ายใดมีหน้าที่จัดให้มีมาตรการป้องกันที่เกี่ยวข้องกับการเชื่อมต่อระบบ