KelpDAO erleidet $292 Millionen Exploit aufgrund einer Schwachstelle im Single Verifier System

Am 18. April kam es zu einem schwerwiegenden Sicherheitsvorfall, als der Cross-Chain-Brückenadapter von KelpDAO ausgenutzt wurde, was zu einem Verlust von rund $292 Millionen in rsETH führte. Der Angriff wurde durch einen kritischen Fehler im System ermöglicht, das auf einen einzigen Verifier zur Authentifizierung von Transaktionen angewiesen war.

Der Exploit entleerte 116.500 rsETH aus KelpDAOs LayerZero-unterstütztem Omnichain Fungible Token (OFT) Adapter auf Ethereum, was etwa 18 % des zirkulierenden Angebots des Tokens ausmachte. Nach dem Vorfall kam es zu über $10 Milliarden an Abhebungen, die sich über verschiedene DeFi-Protokolle erstreckten.

Details des Angriffs

Die Angreifer nutzten eine 1-von-1 Konfiguration des Decentralized Verifier Network (DVN), die es ihnen ermöglichte, eine Nachricht zu fälschen, die fälschlicherweise behauptete, dass ein entsprechendes Brennen von rsETH auf Unichain stattgefunden hatte. Da nur ein Validator, betrieben von LayerZero Labs, zur Authentifizierung der Transaktion erforderlich war, war die gefälschte Nachricht ausreichend, um die Reserven freizugeben.

Anstatt einen traditionellen Smart-Contract-Bug auszunutzen, kompromittierten die Angreifer die internen RPC-Knoten von LayerZero, indem sie legitime Binärdateien durch gefälschte Versionen ersetzten, um den einzigen DVN zu täuschen. Um zu verhindern, dass Backup-Systeme eingreifen, starteten sie gleichzeitig einen DDoS-Angriff auf externe Knoten, wodurch das System in einen Failover-Zustand gezwungen wurde.

Das Notfall-Multisignatur-Team von KelpDAO konnte die Kernverträge etwa 46 Minuten nach Beginn des Angriffs pausieren und so weitere Verluste von zusätzlichen 40.000 rsETH verhindern.

Verbindung zur Lazarus-Gruppe

Erste Ermittlungen haben den Angriff mit der Lazarus-Gruppe aus Nordkorea in Verbindung gebracht, insbesondere mit ihrer TraderTraitor-Untergruppe. Die Komplexität des Angriffs, der eine Kompromittierung der Lieferkette mit einer koordinierten DDoS-Kampagne kombinierte, entspricht den bekannten Taktiken der Gruppe. Bisher konnten bei den Wiederherstellungsbemühungen etwa $71 Millionen, rund ein Viertel der gestohlenen Gelder, zurückgeholt werden.

Auswirkungen auf DeFi-Protokolle

Der Vorfall hat eine umfassende Neubewertung der DVN-Konfigurationen unter den Protokollen, die den OFT-Standard von LayerZero nutzen, nach sich gezogen. Eine sicherere 2-von-3 oder 3-von-5 DVN-Konfiguration hätte es den Angreifern erschwert, da sie mehrere unabhängige Validatoren gleichzeitig kompromittieren müssten.

Für Investoren dient dieser Vorfall als eindringliche Erinnerung, die Sicherheitsmaßnahmen für jedes Protokoll zu überprüfen, das auf Cross-Chain-Messaging angewiesen ist, insbesondere die Anzahl der Validatoren, die an der Transaktionsverifizierung beteiligt sind.