Kelp DAO đổ lỗi cho LayerZero về vụ hack 292 triệu USD

crypto-hack

Vụ hack Kelp DAO trị giá gần 292 triệu USD vừa có diễn biến mới khi phía dự án chính thức lên tiếng và phần nào đổ trách nhiệm sang hạ tầng của LayerZero.

Cuộc tấn công xảy ra ngày 18/4 khi cầu nối cross-chain vận hành bằng công nghệ LayerZero của Kelp DAO bị rút trái phép 116.500 token rsETH, tương đương khoảng 292 triệu USD. Theo báo cáo ban đầu, kẻ tấn công đã khai thác điểm yếu trong cơ chế xác minh thông điệp cross-chain, qua đó tạo ra một giao dịch giả nhưng vẫn được hệ thống ký hợp lệ. Điều đáng chú ý là LayerZero cho biết nhiều dấu hiệu cho thấy nhóm hacker có thể là Lazarus Group, tổ chức tội phạm mạng có liên hệ với Triều Tiên và từng đứng sau hàng loạt vụ hack crypto đình đám trước đây như Ronin Bridge hay Harmony Horizon.

Theo LayerZero, kẻ tấn công đã tiếp cận được danh sách các RPC node thuộc mạng xác minh phi tập trung DVN của LayerZero. Sau khi “đầu độc” hai node RPC, hacker tiếp tục tung đòn DDoS nhằm làm gián đoạn hoạt động mạng lưới, khiến hệ thống DVN chấp nhận một thông điệp cross-chain giả mạo và ký giao dịch không hợp lệ. Đây là một chuỗi tấn công phức tạp, kết hợp cả kỹ thuật xâm nhập hạ tầng lẫn thao túng quy trình xác minh.

LayerZero nhanh chóng chỉ trích cấu hình DVN của Kelp DAO, cho rằng việc sử dụng mô hình “1-of-1 DVN” đã tạo ra điểm lỗi duy nhất (single point of failure). Theo họ, các bên liên quan đã nhiều lần khuyến nghị Kelp DAO đa dạng hóa DVN nhằm đảm bảo cơ chế xác minh độc lập, nhưng dự án vẫn tiếp tục triển khai cấu hình tối giản này.

Trước các cáo buộc, Kelp DAO phản hồi trên nền tảng X rằng cấu hình 1-of-1 DVN thực tế là thiết lập mặc định được ghi trong tài liệu LayerZero dành cho các dự án triển khai OFT mới. Dự án khẳng định đã vận hành trên hạ tầng LayerZero từ tháng 1/2024 và duy trì kênh trao đổi thường xuyên với đội ngũ LayerZero. Theo Kelp DAO, trong quá trình mở rộng sang Layer-2, cấu hình mặc định này từng được xác nhận là “phù hợp tại thời điểm đó”. Phát biểu của dự án cho thấy tranh cãi trách nhiệm giữa giao thức ứng dụng và nhà cung cấp hạ tầng đang trở thành vấn đề lớn trong hệ sinh thái DeFi.

Ở góc độ phản ứng khẩn cấp, Kelp DAO cho biết họ đã nhanh chóng tạm dừng các hợp đồng liên quan, đưa các ví nghi liên quan hacker vào danh sách đen và triển khai các biện pháp nhằm hạn chế thiệt hại lan rộng. Dự án đang đánh giá lộ trình khôi phục hoạt động và khả năng bồi thường cho người dùng, trong khi cộng đồng tiếp tục theo dõi diễn biến.

Tin tức Coin#Kelp #DAO #đổ #lỗi #cho #LayerZero #về #vụ #hack #triệu #USD1776768673