El protocolo DeFi Kelp DAO dijo que migrará su token de restaking, rsETH, a la plataforma oracle de Chainlink después del exploit de 292 millones de dólares en abril, mientras continúa culpando a la infraestructura cross-chain de LayerZero por el ataque.
Los hackers robaron 116.500 tokens Kelp DAO restaked ETH el 18 de abril del puente de Kelp DAO impulsado por LayerZero, y luego los utilizaron como garantía en Aave v3 para pedir prestado Ether envuelto.
“Después del reciente exploit de LayerZero, estamos tomando medidas para garantizar que rsETH sea completamente seguro, por lo que estamos migrando a Chainlink CCIP”, dijo Kelp DAO en un post de X el martes.
Fuente: Kelp DAO
El hackeo de Kelp DAO ha sido uno de los incidentes de seguridad más grandes del año, causando un contagio más amplio en el ecosistema e impactando el mercado de préstamos criptográficos interconectados. En el centro del exploit ha estado una discusión sobre quién fue responsable de la vulnerabilidad.
Kelp dice que no fue advertido de los riesgos de seguridad
Un día después del exploit, LayerZero publicó un postmortem argumentando que el hackeo ocurrió debido a una configuración inadecuada vinculada a la red de verificadores descentralizados (DVN) de Kelp, que se basaba en un solo DVN de LayerZero como la única ruta verificada en lugar de requerir múltiples comprobaciones independientes para validar transacciones cross-chain. LayerZero dijo que aconsejó en contra de esta configuración.
Sin embargo, Kelp DAO dijo el martes que la configuración 1-1 es la predeterminada y es utilizada por muchos otros protocolos, citando datos de la plataforma de análisis Dune que encontró que aproximadamente la mitad de los usuarios de LayerZero tienen un solo DVN. También acusó a LayerZero de aprobar la configuración y no advertir sobre el riesgo de seguridad relacionado.
“Kelp ha operado en la infraestructura de LayerZero desde enero de 2024 y ha mantenido un canal de comunicación abierto con el equipo de LayerZero durante todo el proceso. La cuestión de la configuración de DVN se planteó varias veces y estas configuraciones fueron confirmadas como seguras en ese momento”, agregó Kelp DAO.
Tras el hackeo, LayerZero anunció que ya no validará ni aprobará mensajes cross-chain para ninguna aplicación que se base en un solo verificador, y que está en proceso de migrar protocolos que utilizan la configuración a un multi-DVN.
El CEO de LayerZero dice que muchas de las afirmaciones son falsas
Bryan Pellegrino, cofundador y CEO de LayerZero, dijo en una respuesta en X que un “montón” de las afirmaciones de Kelp eran “simplemente completamente falsas”.
Argumentó que Kelp originalmente utilizó los valores predeterminados, que eran multi-DVN, y luego cambió manualmente a una configuración 1/1, que no se recomienda para aplicaciones de producción.
“Los valores predeterminados que Kelp menciona en su captura de pantalla eran multiDVN o DeadDVN, que rechazan forzadamente una aplicación que utiliza los valores predeterminados y requiere que configuren manualmente. rsETH se configuró originalmente para usar la configuración predeterminada de LayerZero de una configuración multi-DVN de LayerZero Labs + Google”, agregó.
Fuente: Bryan Pellegrino
Pellegrino también dijo que un postmortem completo por parte de empresas de seguridad externas será publicado pronto.
Se sospecha que hackers vinculados a Corea del Norte están detrás del ataque a Kelp y del exploit del 1 de abril de la bolsa descentralizada Drift, que totalizó 285 millones de dólares.
