KelpDAO Subit un Exploit de 292 Millions de Dollars en Raison d'une Vulnérabilité de Vérificateur Unique

Une importante faille de sécurité s'est produite le 18 avril, lorsque l'adaptateur de pont inter-chaînes de KelpDAO a été exploité, entraînant la perte d'environ 292 millions de dollars en rsETH. L'attaque a été facilitée par un défaut critique dans le système, qui reposait sur un seul vérificateur pour l'authentification des transactions.

L'exploit a siphonné 116 500 rsETH de l'adaptateur de jeton fongible omnichaîne (OFT) de KelpDAO, propulsé par LayerZero, sur Ethereum, représentant environ 18 % de l'offre en circulation du jeton. Suite à cette faille, plus de 10 milliards de dollars en retraits ont été observés à travers divers protocoles DeFi.

Détails de l'Attaque

Les attaquants ont utilisé une configuration de Réseau de Vérificateurs Décentralisés (DVN) 1-of-1, leur permettant de falsifier un message prétendant qu'une destruction correspondante de rsETH avait eu lieu sur Unichain. Étant donné qu'un seul validateur, opéré par LayerZero Labs, était nécessaire pour authentifier la transaction, le message falsifié était suffisant pour libérer les réserves.

Au lieu d'exploiter un bug traditionnel de contrat intelligent, les attaquants ont compromis les nœuds RPC internes de LayerZero, remplaçant les binaires légitimes par des versions contrefaites pour tromper le seul DVN. Pour empêcher toute intervention des systèmes de secours, ils ont simultanément lancé une attaque DDoS contre des nœuds externes, forçant le système à entrer dans un état de basculement.

L'équipe d'urgence multisignature de KelpDAO a réussi à suspendre les contrats principaux environ 46 minutes après le début de l'attaque, empêchant ainsi des pertes supplémentaires de 40 000 rsETH.

Liens avec le Groupe Lazarus

Les enquêtes préliminaires ont lié l'attaque au Groupe Lazarus de Corée du Nord, en particulier à son sous-groupe TraderTraitor. La complexité de l'attaque, qui a combiné une compromission de la chaîne d'approvisionnement avec une campagne DDoS coordonnée, correspond aux tactiques connues du groupe. Jusqu'à présent, les efforts de récupération ont permis de récupérer environ 71 millions de dollars, soit environ un quart des fonds volés.

Impact sur les Protocoles DeFi

L'incident a suscité une réévaluation significative des configurations DVN parmi les protocoles utilisant le standard OFT de LayerZero. Une configuration DVN plus sécurisée 2-of-3 ou 3-of-5 aurait posé un plus grand défi aux attaquants, car elle aurait nécessité de compromettre plusieurs validateurs indépendants simultanément.

Pour les investisseurs, cet incident sert de rappel frappant pour évaluer les mesures de sécurité en place pour tout protocole s'appuyant sur la messagerie inter-chaînes, en particulier le nombre de validateurs impliqués dans la vérification des transactions.