Waarom cross-chain bridges de zwakste schakel van DeFi zijn na de $293 miljoen Kelp DAO hack

Crypto bridges staan weer in de schijnwerpers — en niet om de juiste redenen.

De exploit van $293 miljoen van Kelp DAO op zaterdag heeft bridgebeveiliging naar de top van de aandacht van de crypto-industrie gebracht, zegt Ari Redbord, wereldwijd hoofd beleid en overheidszaken bij TRM Labs.

"Wanneer het beveiligingsmodel van een uitgever van $300 miljoen reduceert tot de ondertekeningssleutel van één validator, stopt het aanvalsoppervlak technisch te zijn en wordt het structureel," schreef hij op zondag.

De analyse volgt op een aanvaller die 116.500 rsETH heeft geleegd — ongeveer 18% van de circulerende voorraad van de token — door een functie te activeren op het cross-chain berichtensysteem van LayerZero. Simpel gezegd stuurde de aanvaller een nep bericht dat de bridge van Kelp vertelde dat er geld was aangekomen van een andere blockchain. De bridge geloofde het signaal en gaf de tokens vrij.

Kelp DAO is een liquid restaking protocol gebouwd op Ethereum waarmee gebruikers zowel standaard staking beloningen als extra restaking opbrengsten kunnen verdienen via EigenLayer.

Wanneer gebruikers in aanmerking komende tokens storten, ontvangen ze rsETH, een verhandelbaar activum dat kan worden gebruikt op DeFi-platforms terwijl de onderliggende fondsen meerdere netwerken blijven beveiligen. In feite stelt de structuur investeerders in staat om hun kapitaal productief te houden zonder het vast te zetten, waardoor liquiditeit behouden blijft terwijl gelaagde rendementen worden gegenereerd.

De aanval voegt zich bij het verlies van $286 miljoen dat Drift leed op 1 april, waardoor de DeFi-verliezen van deze maand tot meer dan $550 miljoen zijn gestegen.

Hoe werken bridges?

Een cross-chain bridge is software die verschillende blockchains met elkaar verbindt, zoals Ethereum en Arbitrum.

Wanneer gebruikers tokens tussen chains verplaatsen, vergrendelt de bridge de originele tokens en creëert overeenkomstige tokens op de nieuwe chain. Dat proces is afhankelijk van validators — vertrouwde computers die bevestigen of een blockchain-transactie echt is.

De bridge werd misleid om te geloven dat een nep bericht van een andere blockchain echt was, dus gaf het tokens vrij die het nooit had moeten vrijgeven. Omdat slechts één validator was geconfigureerd om die berichten goed te keuren, stelde een enkel storingspunt de aanvaller in staat om honderden miljoenen dollars te ontgrendelen.

De configuratie van Kelp vertrouwde naar verluidt op een 1/1 Decentralised Verifier Network, of DVN. Dat betekent dat een enkele validator de autoriteit had om cross-chain berichten goed te keuren. Zodra die validator werd gecompromitteerd of misleid, vertrouwde het hele systeem een nep signaal.

De "blast radius" strekte zich uit voorbij Kelp. Aave, SparkLend, Fluid en Upshift pauzeerden markten die gekoppeld waren aan rsETH, zei Redbord.

Alleen Aave zag meer dan $5,4 miljard aan ether-opnames toen gebruikers hun blootstelling probeerden te beperken, voegde hij toe.

Twee aanvullende pogingen om nog eens $100 miljoen te leeghalen werden geblokkeerd nadat de emergency multisignature wallet van Kelp contracten binnen 46 minuten had bevroren.

"Het antwoord is om te leunen op verdediging: diverse validatorsets op berichtenlagen, realtime monitoring van mint- en burn-stromen, snelwerkende pauser multisigs en cross-protocol playbooks die besmetting veronderstellen," schreef Redbord.

"April is een zware maand geweest voor DeFi-bouwers."

Lance Datskoluo is Europa-gebaseerde marktcorrespondent van DL News. Een tip? Mail hem op lance@dlnews.com