Почему кроссчейн-мосты являются самым слабым звеном DeFi после взлома Kelp DAO на $293 млн

Кроссчейн-мосты снова в центре внимания — и не по правильным причинам.

Взлом Kelp DAO на 293 миллиона $ в субботу вывел безопасность мостов на первый план в криптоиндустрии, говорит Ари Редборд, глобальный руководитель отдела политики и связей с правительством в TRM Labs.

"Когда модель безопасности эмитента на 300 миллионов $ сводится к ключу подписи одного валидатора, поверхность атаки перестает быть технической и становится структурной", — написал он в воскресенье.

Анализ последовал после того, как злоумышленник слил 116 500 rsETH — около 18% циркулирующего предложения токена — запустив функцию в кроссчейн-системе обмена сообщениями LayerZero. Проще говоря, злоумышленник отправил поддельное сообщение, которое сообщило мосту Kelp, что деньги поступили из другого блокчейна. Мост поверил сигналу и выпустил токены.

Kelp DAO — это протокол ликвидного рестейкинга, построенный на Ethereum, который позволяет пользователям получать как стандартные вознаграждения за стейкинг, так и дополнительную доходность от рестейкинга через EigenLayer.

Когда пользователи вносят подходящие токены, они получают rsETH, торгуемый актив, который можно использовать на DeFi-платформах, в то время как базовые средства продолжают обеспечивать безопасность нескольких сетей. Фактически, структура позволяет инвесторам сохранять продуктивность капитала без его блокировки, сохраняя ликвидность при получении многоуровневой доходности.

Атака добавляется к потерям в 286 миллионов $, которые понес Drift 1 апреля, в результате чего потери DeFi за этот месяц превысили 550 миллионов $.

Как работают мосты?

Кроссчейн-мост — это программное обеспечение, которое соединяет различные блокчейны, такие как Ethereum и Arbitrum.

Когда пользователи перемещают токены между цепочками, мост блокирует оригинальные токены и создает соответствующие в новой цепи. Этот процесс зависит от валидаторов — доверенных компьютеров, которые подтверждают, является ли транзакция блокчейна подлинной.

Мост был обманут, поверив, что поддельное сообщение из другого блокчейна было настоящим, поэтому он выпустил токены, которые никогда не должен был выпускать. Поскольку только один валидатор был настроен на одобрение этих сообщений, единственная точка отказа позволила злоумышленнику разблокировать сотни миллионов долларов.

Установка Kelp, как сообщается, полагалась на децентрализованную сеть верификаторов 1/1, или DVN. Это означает, что один валидатор имел полномочия одобрять кроссчейн-сообщения. Как только этот валидатор был скомпрометирован или обманут, вся система доверилась поддельному сигналу.

"Радиус поражения" распространился за пределы Kelp. Aave, SparkLend, Fluid и Upshift приостановили рынки, привязанные к rsETH, сказал Редборд.

Только Aave зафиксировал более 5,4 миллиарда $ в снятии эфира, поскольку пользователи стремились ограничить риски, добавил он.

Две дополнительные попытки слить еще 100 миллионов $ были заблокированы после того, как аварийный кошелек с мультиподписью Kelp заморозил контракты в течение 46 минут.

"Ответ заключается в том, чтобы сделать упор на защиту: разнообразные наборы валидаторов на уровнях обмена сообщениями, мониторинг в реальном времени потоков чеканки и сжигания, быстродействующие мультиподписи приостановки и межпротокольные руководства, предполагающие заражение", — написал Редборд.

"Апрель был тяжелым месяцем для разработчиков DeFi".

Лэнс Датсколуо — европейский рыночный корреспондент DL News. Есть информация? Напишите ему на lance@dlnews.com