لیرزیرو مشکل امنیتی خود در ماجرای هک کلپ دائو را پذیرفت

تیم لیرزیرو که پیش‌تر اعلام کرده بود هیچ اتهامی متوجه این تیم در هک کلپ دائو نیست، حالا پذیرفته که سیستم امنیتی RPC و DVN که تنها متکی به تایید 1 به 1 بود، مشکل اصلی بوده و از لحاظ امنیتی، ضعیف عمل کرده است. حالا تیم لیرزیرو در صدد جبران این اتفاق است و می‌خواهد با تقویت امنیت شبکه و کلپ دائو، تلاش کند این ضرر 292 میلیون دلاری را جبران کند.

خلاصه خبر

• لیرزیرو (LayerZero) پس از هک ۲۹۲ میلیون دلاری کلپ دائو پذیرفت که استفاده از یک تاییدکننده واحد برای تراکنش‌های سنگین اشتباه بوده است.
• این پروتکل اعلام کرد نودهای RPC (نودهایی که از راه دور بلاکچین را مدیریت می‌کردند) داخلی آن توسط گروه لازاروس کره شمالی هدف قرار گرفته و داده‌های جعلی به شبکه تزریق شده است.
• پروژه کلپ دائو و  پروتکل سالو (Solv) در واکنش به نگرانی‌های امنیتی، مهاجرت به CCIP شبکه چین لینک را آغاز کرده‌اند.
• لیرزیرو برای بازسازی اعتماد، تنظیمات امنیتی DVN (شبکه تاییدکننده غیرمتمرکز)، ساختار مولتی‌سیگ (چند-امضایی) و ابزارهای نظارتی خود را تغییر می‌دهد.

پذیرش اشتباه امنیتی پس از هک ۲۹۲ میلیون دلاری

سه هفته پس از حمله ۱۸ آوریل (29 فروردین 1405) به کلپ دائو، پروتکل میان‌زنجیره‌ای لیرزیرو (LayerZero) موضع قبلی خود را تغییر داد و پذیرفت که استفاده از شبکه تاییدکننده غیرمتمرکز یا DVN به‌عنوان تنها تاییدکننده برای تراکنش‌های پرارزش، تصمیم درستی نبوده است. این حمله حدود ۲۹۲ میلیون دلار خسارت به همراه داشت و در هفته‌های گذشته بحث‌های زیادی درباره مسئولیت لیرزیرو، تنظیمات امنیتی کلپ دائو (Kelp DAO) و مدل پیش‌فرض این پروتکل ایجاد کرد. لیرزیرو در ابتدا تقصیر را کاملا متوجه خود کلپ دائو و گروه هکری لازاروس دانسته و گفته بود:

پروتکل «دقیقا طبق طراحی» عمل کرده و مسئولیت تا حد زیادی متوجه تنظیمات Kelp DAO است.

اما حالا با انتشار یک بلاگ پست تازه، لیرزیرو پذیرفته که طراحی امنیتی برای تراکنش‌هایی در این ابعاد کافی نبوده است.

در هک کلپ دائو دقیقا چه اتفاقی افتاد؟

بر اساس توضیحات جدید لیرزیرو، نودهای RPC (نودهای از راه‌دور) داخلی این پروتکل که DVN (شبکه تاییدکننده غیرمتمرکز) لیرزیرو برای خواندن وضعیت زنجیره مبدا به آن‌ها متکی بود، توسط گروه لازاروس کره شمالی آلوده شدند. مهاجمان هم‌زمان با مسموم کردن داده‌های این نودها، حمله DDoS (دیداس که با ارسال تعداد بالایی درخواست سیستیم را دچار نقص می‌کند) علیه ارائه‌دهندگان خارجی RPC لیرزیرو انجام دادند تا DVN ناچار شود به زیرساخت داخلی آلوده‌شده تکیه کند.

نتیجه این شد که DVN تراکنش‌هایی را تایید کرد که اساسا در زنجیره مبدا رخ نداده بودند. لیرزیرو پیش‌تر این حمله را به TraderTraitor (خائن به تریدرها)، یکی از زیرگروه‌های شناخته‌شده لازاروس در حمله به زیرساخت‌های کریپتویی، نسبت داده بود.

پذیرش مسئولیت هک توسط لیرزیرو

مهم‌ترین بخش اطلاعیه تازه لیرزیرو، عقب‌نشینی از روایت قبلی بود. این تیم اعلام کرد اگرچه توسعه‌دهندگان باید بتوانند پیکربندی امنیتی خود را انتخاب کنند، اما لیرزیرو اشتباه کرده که اجازه داده DVN خودش در حالت ۱ از ۱ (تایید توسط تنها یک تاییدکننده) برای تراکنش‌های سنگین استفاده شود. تیم پروژه صراحتا نوشت:

«ما بررسی نکردیم DVN ما در حال ایمن‌سازی چه چیزی است و این ریسکی ساخت که آن را ندیده بودیم. ما مسئولیتش را می‌پذیریم.»

این تغییر لحن از آن جهت مهم است که کلپ دائو پیش‌تر ادعای لیرزیرو را رد کرده و گفته بود مستندات، راهنماهای شروع سریع و نمونه‌های توسعه‌دهندگان، عملا همین پیکربندی تک‌تاییدکننده را به‌عنوان مسیر پیش‌فرض معرفی می‌کردند. طبق تحلیلی که Kelp به آن استناد کرده، در زمان حمله ۴۷ درصد از حدود ۲,۶۶۵ قرارداد فعال OApp در لیرزیرو همین تنظیمات را داشته‌اند.

ضعف قدیمی در امنیت چند-امضایی (Multi-Sig)

لیرزیرو در همان پست، یک رخداد امنیتی قدیمی و کمتر گزارش‌شده را هم فاش کرد. طبق اعلام این تیم، حدود سه سال و نیم پیش یکی از امضاکنندگان چند-امضایی شرکت، به‌اشتباه از کیف پول سخت‌افزاری تولیدی خود برای یک معامله شخصی استفاده کرده بود؛ در حالی که باید از دستگاه جداگانه شخصی استفاده می‌کرد.

لیرزیرو این اقدام را «به‌وضوح غیرقابل قبول» خواند و اعلام کرد آن امضاکننده از مولتی‌سیگ حذف شده، کیف پول‌ها چرخش پیدا کرده‌اند و نرم‌افزار تشخیص ناهنجاری محلی روی دستگاه‌های امضا اضافه شده است. این افشاگری در شرایطی مطرح شد که برخی پژوهشگران آنچین، از جمله زک راینز (Zach Rynes) از جامعه چین‌ لینک LINK $12.611 ، پیش‌تر به استفاده احتمالی از کلیدهای مولتی‌سیگ تولیدی در فعالیت‌های غیرمرتبط دیفای اشاره کرده بودند.

تغییرات امنیتی جدید لیرزیرو

لیرزیرو حالا مجموعه‌ای از تغییرات امنیتی را در دستور کار قرار داده است. طبق اعلام پروژه، DVN لیرزیرو دیگر از پیکربندی ۱ از ۱ (تایید توسط تنها یک تاییدکننده) پشتیبانی نمی‌کند و مسیرها تا جای ممکن به مدل ۵ از ۵ منتقل می‌شوند؛ در زنجیره‌هایی که فقط سه DVN در دسترس است هم حداقل مدل ۳ از ۳ اعمال خواهد شد. این تیم همچنین در حال توسعه یک کلاینت دوم DVN با زبان Rust است (یعنی اعتبارسنجی جدید با زبان برنامه‌نویسی امن Rust) تا تنوع نرم‌افزاری افزایش یابد و وابستگی به یک مدل کاهش پیدا کند. در بخش RPC (تایید از راه دور) هم ساختار جدیدی طراحی شده تا DVNها بتوانند میان منابع داخلی، خارجی اختصاصی و خارجی مشترک، مسیرهای مخرب را تشخیص دهند.

افزایش آستانه چند-امضایی (Multi-Sig) و معرفی ابزار Console

در بخش امضاها، لیرزیرو قصد دارد آستانه چند-امضایی خود را از ۳ از ۵ به ۷ از ۱۰ (یعنی حداقل 7 نفر از 10 نفر امضا کنند) افزایش دهد؛ البته در زنجیره‌هایی که مولتی‌سیگ اختصاصی «OneSig» پشتیبانی می‌شود. OneSig به امضاکنندگان اجازه می‌دهد تراکنش‌ها را دانلود کنند، آن‌ها را به‌صورت محلی مرکلایز و هش کنند و سپس ریشه را امضا کنند؛ روشی که جلوی تزریق تراکنش غیرمجاز از سمت کد اصلی را می‌گیرد. علاوه بر این، لیرزیرو در حال توسعه پلتفرمی به نام Console است تا صادرکنندگان دارایی (پروژه، شرکت یا نهادی که یک توکن، استیبل‌ کوین، دارایی توکنیزه‌شده یا NFT را صادر می‌کند.) بتوانند امنیت میان‌زنجیره‌ای خود را از یک محل واحد پیکربندی، اجرا و مدیریت کنند. این ابزار قرار است مواردی مثل DVN ناشناخته، تغییر مالکیت، تغییر تایید بلاک و تنظیمات پیش‌فرض ناامن را به‌صورت خودکار شناسایی کند.

مهاجرت پروژه‌ها به زیرساخت میان-زنجیره‌ای چین لینک

عذرخواهی لیرزیرو در زمانی منتشر شده که فشار رقابتی روی این پروتکل بیشتر شده است. در هفته‌های پس از هک، دو پروتکل مهم اعلام کردند زیرساخت میان‌زنجیره‌ای خود را از لیرزیرو خارج و به پروتکل CCIP چین لینک منتقل می‌کنند. کلپ دائو نخستین پروژه بزرگی بود که بعد از این حمله، خروج از لیرزیرو را اعلام کرد و کمی بعد سالو پروتکل (Solv Protocol) هم از انتقال بیش از ۷۰۰ میلیون دلار بیت کوین BTC $81,591 توکنیزه‌شده از زیرساخت لیرزیرو خبر داد. نکته مهم اینجاست که CCIP چین‌لینک برای اعتبارسنجی تراکنش‌های میان‌زنجیره‌ای از ۱۶ اپراتور نود مستقل استفاده می‌کند؛ موضوعی که در فضای فعلی، برای پروژه‌های بزرگ یک پیام امنیتی جدی دارد.

تلاش برای جبران خسارت کاربران

در کنار اصلاحات امنیتی، تلاش برای جبران خسارت کاربران هم ادامه دارد. برای مثال کمپین DeFi United که بعد از این حمله برای کمک به کاربران آسیب‌دیده در شبکه آووه شکل گرفت، بیش از ۳۰۰ میلیون دلار در قالب ارز اتریوم و استیبل‌ کوین ها جمع‌آوری کرده است. لیرزیرو نیز ۱۰ هزار ارز دیجیتال اتریوم به این روند اختصاص داده که شامل ۵ هزار ارز ETH کمک بلاعوض و ۵ هزار اتریوم وام به پلتفرم Aave است. طبق گزارش، آوه با بدهی بدی بین ۱۲۴ تا ۲۳۰ میلیون دلار در ارتباط با این حادثه مواجه است. از طرف دیگر، DAO آربیتروم به آزادسازی ۳۰,۷۶۶ اتریوم فریز‌شده برای این روند رای داده و قاضی نیز روز جمعه اجازه انتقال این وجوه را صادر کرده است؛ با وجود اینکه برخی طلبکاران و قربانیان تروریسم کره شمالی تلاش کرده بودند جلوی این انتقال را بگیرند.

جمع‌بندی

ماجرای هک ۲۹۲ میلیون دلاری کلپ دائو فقط یک رخداد امنیتی ساده نبود؛ این اتفاق اعتماد به تنظیمات پیش‌فرض لیرزیرو را زیر سوال برد. لیرزیرو حالا مسئولیت بخشی از ضعف طراحی را پذیرفته، تغییرات امنیتی گسترده‌ای را آغاز کرده و تلاش می‌کند جلوی خروج بیشتر پروژه‌ها را بگیرد. با این حال، مهاجرت کلپ دائو و سالو پروتکل به CCIP شبکه چین لینک نشان می‌دهد که در بازار زیرساخت‌های میان‌زنجیره‌ای، اعتماد از هر زمان دیگری مهم‌تر شده است. برای کاربران و پروژه‌های دیفای، پیام این حادثه روشن است: در دنیای کراس‌چین، امنیت پیش‌فرض کافی نیست و هر تنظیم اشتباه می‌تواند صدها میلیون دلار هزینه داشته باشد.