David Schwartz, CTO émérite chez Ripple, a identifié un schéma dans les vulnérabilités de sécurité des ponts après que le pont rsETH de Kelp DAO a été exploité pour environ $292 million. Lors de son évaluation des systèmes de pont DeFi pour l’usage du RLUSD, Schwartz a observé que les fournisseurs de ponts mettaient systématiquement en priorité moindre leurs mécanismes de sécurité les plus robustes au profit de la commodité, un schéma qu’il pense avoir pu contribuer à l’incident de Kelp DAO.
Le pitch de vente des fonctionnalités de sécurité
Dans son analyse partagée sur X, Schwartz a décrit comment les fournisseurs de ponts faisaient la promotion de fonctionnalités de sécurité avancées de manière très visible, puis suggéraient immédiatement que ces fonctionnalités étaient optionnelles. « En pratique, ils ont généralement recommandé de ne pas utiliser les mécanismes de sécurité les plus importants, parce qu’ils ont des coûts de commodité et de complexité opérationnelle », a-t-il écrit.
Schwartz a noté qu’au cours des discussions d’évaluation du RLUSD, les fournisseurs ont mis l’accent sur la simplicité et la facilité d’ajouter plusieurs chaînes « avec l’hypothèse implicite que nous ne nous donnerions pas la peine d’utiliser les meilleures fonctionnalités de sécurité qu’ils avaient ». Il a résumé la contradiction : « Leur argument de vente, c’était qu’ils ont les meilleures fonctionnalités de sécurité mais qu’elles sont faciles à utiliser et à mettre à l’échelle, en supposant que vous n’utilisiez pas les fonctionnalités de sécurité. »
Ce qui est arrivé à Kelp DAO
Le 19 avril, Kelp DAO a identifié une activité transfrontalière suspecte impliquant rsETH et a mis en pause des contrats sur le réseau principal et sur plusieurs réseaux de couche 2. Environ 116 500 rsETH ont été vidés via des appels de contrats liés à LayerZero, d’une valeur d’environ $292 million aux prix actuels.
L’analyse en chaîne de D2 Finance a retracé la cause racine à une fuite de clé privée sur la chaîne source, qui a créé un problème de confiance avec les nœuds OApp que l’attaquant a exploités pour manipuler le pont.
Configuration de sécurité de LayerZero
LayerZero lui-même offre des mécanismes de sécurité robustes, y compris des réseaux de vérification décentralisés. Schwartz a émis l’hypothèse qu’une partie du problème pourrait venir du fait que Kelp DAO a choisi de ne pas utiliser les fonctionnalités de sécurité clés de LayerZero « par commodité ».
Les enquêteurs examinent si Kelp DAO a configuré son implémentation de LayerZero avec une configuration de sécurité minimale—plus précisément, un point de défaillance unique avec LayerZero Labs comme seul vérificateur—plutôt que d’utiliser les options plus complexes, mais nettement plus sécurisées, disponibles via le protocole.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Litecoin subit une profonde réorganisation de chaîne après une exploitation de la couche de confidentialité MWEB
Message d’actualité Gate News, 26 avril — Litecoin a subi une profonde réorganisation de chaîne (reorg) samedi après que des attaquants ont exploité une vulnérabilité zero-day dans sa couche de confidentialité MimbleWimble Extension Block (MWEB), a annoncé la Litecoin Foundation. La réorg s’est étendue des blocs 3,095,930 à 3,095,943 et
GateNewsIl y a 46m
Le Litecoin voit pour la première fois une couche de confidentialité piratée : déclenchement d’une vulnérabilité zero-day MWEB provoquant une réorganisation de 13 blocs de chaîne
Selon The Block, la Fondation Litecoin confirme qu’une faille zero-day a été exploitée dans la couche de confidentialité MWEB. Les attaquants utilisent des nœuds obsolètes pour faire passer des transactions MWEB falsifiées comme valides, provoquant un rollback de la chaîne principale de 13 blocs (environ 3 heures) et un double-spend sur des échanges inter-chaînes. NEAR Intents a exposé environ 600 000 dollars, et les pools de minage ont également subi un DoS. Une version corrigée a été publiée : veuillez effectuer la mise à niveau immédiatement. Les soldes de la chaîne principale ne sont pas affectés, mais cela met en évidence le compromis entre la réduction de la détectabilité et la difficulté de détection de la couche de confidentialité.
ChainNewsAbmediaIl y a 2h
Aave, Kelp, LayerZero Seek $71M Libération de l’ETH gelé depuis l’optimisme décentralisé (DAO) d’Arbitrum
Aave Labs, Kelp DAO, LayerZero, EtherFi et Compound ont déposé un AIP constitutionnel sur le forum Arbitrum samedi matin, demandant au DAO du réseau de débloquer environ $71 million d’ETH gelés afin de soutenir les efforts de redressement de rsETH, faisant suite à la fuite/exploitation de $292 million subie par Kelp DAO la semaine dernière. La proposition
CryptoFrontierIl y a 3h
Litecoin subit une profonde réorganisation de chaîne après une faille zero-day MWEB, effaçant trois heures d’historique
Message de Gate News, 26 avril — Le Litecoin a subi une profonde réorganisation de chaîne (reorg) samedi après que des attaquants ont exploité une vulnérabilité zero-day dans sa couche de confidentialité MimbleWimble Extension Block (MWEB), selon la Litecoin Foundation. Le bug a permis à des nœuds de minage exécutant un logiciel plus ancien de
GateNewsIl y a 9h
Apecoin Insider transforme $174K en 2,45 M$ en une journée grâce à un trading 14x des deux côtés d’une hausse de 80%
Un portefeuille anonyme sans historique de trading antérieur a transformé pour 174 000 $ d’ether en 2,45 millions de dollars en négociant Apecoin des deux côtés d’une hausse de prix de 80% sur une seule journée.
Points clés :
Le portefeuille 0x0b8a a converti 174 000 $ en ETH en une position longue sur Apecoin avec effet de levier, en sortant près du sommet pour un gain de 1,79 M$
CoinpediaIl y a 10h
La police de Hong Kong démantèle un réseau de fraude transfrontalière visant des étudiants à l’étranger, saisissant HK$5M en actifs
Message de Gate News, 26 avril — La police de Hong Kong a démantelé un réseau de fraude transfrontalière qui visait des étudiants chinois à l’étranger, selon les médias locaux. Le syndicat s’est fait passer pour des responsables de l’application de la loi et a contraint les victimes à se rendre à Hong Kong afin d’acheter des lingots d’or comme « c
GateNewsIl y a 10h
