Kelp DAO nói mặc định xác thực đơn của LayerZero gây lỗ hổng bridge 290 triệu USD

Kelp DAO cho biết vụ tấn công nhắm vào cầu nối rsETH trị giá khoảng 290 triệu USD bắt nguồn từ cấu hình xác thực mặc định “1/1” của LayerZero và hạ tầng của chính Kelp.

Nhóm tấn công đã chiếm quyền hai máy chủ LayerZero dùng để xác minh giao dịch xuyên chuỗi, đồng thời thực hiện DDoS lên máy chủ dự phòng để chuyển hướng lưu lượng DVN sang nút đã bị xâm nhập.

Theo Kelp DAO, khoảng 116.500 rsETH đã bị chuyển khỏi cầu nối LayerZero của dự án. Kelp cho biết từ tháng 7/2024 đã liên hệ với LayerZero nhưng chưa nhận được yêu cầu rõ ràng nào về việc đổi cấu hình DVN.

Kelp cũng nói tài liệu và ví dụ trên GitHub của LayerZero đang dùng 1/1 làm mặc định, và khoảng 40% giao thức truy cập cũng áp dụng cấu trúc này. Dự án nhấn mạnh hợp đồng restaking cốt lõi không bị ảnh hưởng, sự cố chỉ giới hạn ở lớp cầu nối.