Kelp DAO chuyển sang Chainlink CCIP sau khi tố LayerZero lỗi bảo mật

Kelp DAO cho biết sẽ chuyển hạ tầng liên chuỗi sang Chainlink CCIP, đồng thời bác bỏ nhận định rằng vụ khai thác trị giá 300 triệu USD bắt nguồn từ cấu hình của chính giao thức.

Trong bài đăng ngày 5/5, Kelp nói vụ tấn công ngày 18/4 xuất phát từ lỗ hổng trong hạ tầng của LayerZero, chứ không phải từ lỗi cấu hình ở cấp giao thức như một số đánh giá trước đó.

Kelp phản bác cách giải thích về “lỗi cấu hình”

Kelp cho rằng việc dùng thiết lập 1-of-1 DVN không phải nguyên nhân tạo ra lỗ hổng. Theo giao thức, cấu hình này đã được dùng khá rộng trong hệ sinh thái LayerZero, xuất hiện trong tài liệu mặc định và từng được chấp thuận trong các trao đổi trước đó.

Kelp cũng nêu dữ liệu công khai cho thấy gần một nửa số ứng dụng tích hợp LayerZero vận hành với cấu hình tương tự, trong khi phần lớn giao dịch dựa vào DVN của chính LayerZero.

Vụ tấn công được mô tả là nhắm vào hạ tầng ngoài chuỗi

Theo Kelp, kẻ tấn công đã xâm nhập hạ tầng ngoài chuỗi của LayerZero, từ đó can thiệp vào các nút RPC và tạo ra các xác nhận giao dịch giả. Cách làm này được cho là đã kích hoạt việc đúc rsETH không có tài sản bảo chứng và rút tiền qua nhiều giao thức DeFi.

Kelp cho biết họ đã tạm dừng hợp đồng trong vòng một giờ sau khi phát hiện sự cố. Giao thức nói động thái này giúp ngăn thêm tổn thất vượt quá 100 triệu USD.

Kelp đặt câu hỏi về báo cáo hậu kiểm của LayerZero

Kelp cho rằng cách LayerZero mô tả sự cố như một vấn đề cấu hình riêng lẻ chưa phản ánh đầy đủ bản chất vụ việc. Giao thức cũng lưu ý rằng sau vụ khai thác, LayerZero đã hạn chế các thiết lập 1-of-1 DVN, trong khi trước đó lại xem cấu hình này là chấp nhận được.

Những điểm Kelp nêu ra gồm sự phụ thuộc vào hạ tầng dùng chung, việc thiếu cảnh báo giám sát và nguy cơ từ các điểm cuối RPC bị lộ. Theo Kelp, các yếu tố này cho thấy rủi ro mang tính hệ thống trong mô hình tin cậy của LayerZero.

Kelp sẽ chuyển sang Chainlink CCIP

Để phản ứng với sự cố, Kelp xác nhận sẽ chuyển sang Chainlink’s Cross-Chain Interoperability Protocol, tức CCIP. Giao thức nói quyết định này dựa trên lịch sử vận hành và mô hình bảo mật của Chainlink.

Kelp cho biết ưu tiên hiện tại là bảo vệ tiền của người dùng và khôi phục niềm tin. Một báo cáo pháp chứng đầy đủ sẽ được công bố sau, nhưng thời điểm cụ thể chưa được nêu.

Tổng kết

Vụ việc giữa Kelp DAO và LayerZero cho thấy tranh luận không chỉ nằm ở một cấu hình cụ thể mà còn xoay quanh mức độ an toàn của toàn bộ hạ tầng liên chuỗi. Dữ liệu hiện có cho thấy có một vụ khai thác trị giá 300 triệu USD, một phần tổn thất bổ sung được Kelp nói đã được ngăn chặn, và kế hoạch chuyển sang Chainlink CCIP. Tuy vậy, báo cáo pháp chứng chi tiết vẫn chưa được công bố, nên chưa thể kết luận đầy đủ về toàn bộ nguyên nhân và phạm vi ảnh hưởng.