Технический директор Ripple заявил, что оценка RLUSD выявила те же риски, которые привели к потере 292 миллиона долларов у Kelp DAO

Дэвид Шварц, бывший технический директор Ripple, сделал многозначительное заявление на этой неделе после того, как мост Kelp DAO rsETH был взломан, что привело к потере примерно 292 миллионов долларов.

Он предвидел это. Не конкретно эту атаку, а условия, которые сделали ее возможной.

"Я оценивал множество DeFi-мостов для использования в RLUSD", - написал Шварц в X. "Я был почти исключительно сосредоточен на аспектах безопасности и риска. Одна вещь, которую я заметил, заключается в том, что большинство схем были очень хорошо разработаны и имели действительно мощные механизмы для защиты от именно такого типа атак, которые, похоже, стали причиной ситуации с KelpDAO".

Презентация, которая скрывала функции безопасности

Шварц описал закономерность, с которой он сталкивался неоднократно в процессе оценки. Поставщики мостов активно рекламировали свои самые передовые функции безопасности, а затем почти сразу же предлагали, что эти функции являются необязательными и что большинство клиентов не используют их.

"Они, по сути, рекомендовали не беспокоиться об использовании самых важных механизмов безопасности, потому что это связано с удобством и сложностью операций", - написал он. "Нам часто предлагали простоту и легкость добавления новых цепочек, с неявным предположением, что мы не будем использовать лучшие функции безопасности, которые у них есть".

"Их презентация заключалась в том, что у них есть лучшие функции безопасности, но они просты в использовании и масштабируемы, при условии, что вы не используете эти функции безопасности", - сказал он.

Что на самом деле произошло с Kelp DAO

19 апреля Kelp DAO обнаружила подозрительную межсетевую активность, связанную с rsETH, и приостановила работу контрактов в основной сети и на нескольких сетях второго уровня. Примерно 116 500 rsETH было скомпрометировано через вызовы контрактов, связанных с LayerZero, что составляет около 292 миллионов долларов по текущим ценам.

Анализ транзакций от D2 Finance выявил, что причиной стала утечка закрытого ключа в исходной цепочке, что создало проблему доверия к узлам OApp, которыми злоумышленник воспользовался для манипулирования мостом.

Шварц предложил свою собственную гипотезу о том, что, вероятно, пошло не так на уровне протокола. "У меня есть такое предчувствие, что часть проблемы связана с тем, что KelpDAO, возможно, решила не использовать некоторые ключевые функции безопасности LayerZero из соображений удобства", - написал он.

LayerZero сама по себе предлагает надежные механизмы безопасности, включая децентрализованные сети верификации. Вопрос, который сейчас рассматривают следователи, заключается в том, была ли реализована Kelp DAO с минимальной конфигурацией безопасности, а именно с единой точкой отказа, где LayerZero Labs является единственным верификатором, а не с более сложными, но значительно более безопасными вариантами.