- KelpDAO behauptete, der Raubzug vom Wochenende in Höhe von 292 bis 294 Millionen Dollar sei ein Angriff auf die Infrastruktur von LayerZero gewesen.
- Die Stellungnahme der Stiftung erfolgte als Reaktion auf die Behauptung von LayerZero, dass KelpDAO nicht den gesamten Sicherheitsstack genutzt habe.
KelpDAO, ein Liquid-Restaking-Protokoll, stand am Wochenende nach einem Exploit in Höhe von 292 bis 294 Millionen Dollar im Zentrum einer Kontroverse. Die Stiftung geriet heftig unter Beschuss, nachdem ihr vorgeworfen wurde, sie habe zugunsten von Bequemlichkeit und Kosteneinsparungen nicht den vollen Sicherheitsstack von LayerZero (ZRO) genutzt. Am Montagabend (UTC) veröffentlichte Kelp seine eigenen offiziellen Erkenntnisse zu dem Vorfall. Diesmal behauptete der Bericht, der Angriff habe sich auf die Infrastruktur von LayerZero konzentriert und sei kein Fehler gewesen, der auf die eigene Plattform beschränkt war.
Was ist mit Kelp passiert?
Am Samstagabend veröffentlichte Kelp eine Mitteilung an die Nutzer, in der sie vor einer „verdächtigen kettenübergreifenden Aktivität“ im Zusammenhang mit ihrem Restaked ETH (rsETH) gewarnt wurden. Dies zwang die Organisation dazu, als erste Reaktion ihre rsETH-Verträge im Mainnet und in den Layer-2-Netzwerken (L2) auszusetzen.
Hinter den Kulissen fand der Hacker eine Sicherheitslücke, die das System dazu brachte, 116.500 rsETH im Wert von 292 bis 294 Millionen Dollar zu generieren. Anschließend hinterlegte der Täter die betrügerischen Vermögenswerte bei Aave(AAVE) als Sicherheit, um 106.497 Ethereum (ETH) zu leihen.
Kelp war nicht der Einzige, der von dem Angriff betroffen war, denn auch Aave verzeichnete erhebliche Abhebungen, weil es in die Angelegenheit hineingezogen wurde. Das Ereignis führte dazu, dass TRON (TRX)-Gründer Justin Sun vorschlug, zwischen dem Hacker und KelpDAO zu vermitteln, um die potenziell weitreichende Kettenreaktion einzudämmen, die aus dem Vorfall resultierte. Laut LayerZeros Untersuchung steckte die nordkoreanische Hackergruppe Lazarus Group hinter dem Raubzug. Gleichzeitig trat der Verdacht von Ripple-CTO Emeritus David Schwartz ein, dass Kelp es versäumt hatte, die fortschrittlichen Sicherheitsfunktionen der Omnichain-Interoperabilitätsplattform zu nutzen, darunter die empfohlene Multi-DVN-Konfiguration (Decentralized Verifier Network) für Netzwerkvielfalt und Redundanz.
Offizielle Stellungnahme von KelpDAO
In seinem Bericht mit dem Titel „Vorfall vom 18. April: Zusätzlicher Kontext“ schilderte KelpDAO seine eigene Sicht der Dinge. Darin wurde hervorgehoben, dass zwei vom LayerZero-DVN gehostete RPC-Knoten (Remote Procedure Call) kompromittiert wurden.
Von dort aus startete der Täter einen gleichzeitigen DDoS-Angriff (Distributed Denial-of-Service) gegen einen dritten RPC-Knoten. Kelp bezeichnete dies als „Angriff auf die Infrastruktur von LayerZero“ und bestritt, dass seine eigenen Systeme am Aufbau oder Betrieb dieser Infrastruktur beteiligt waren.
Außerdem betonte Kelp, dass LayerZero sein DVN mit einer Standardkonfiguration von 1-zu-1 ausgeliefert habe. Die Liquid-Restaking-Plattform nutzt dieselbe Konfiguration seit Januar 2024.
Die Stiftung räumte ein, dass die Frage nach den DVN-Spezifikationen während ihrer L2-Erweiterung aufkam. Sie argumentierte jedoch, dass die Standardeinstellungen zu diesem Zeitpunkt bereits ausreichten.
Kelp forderte die anderen beteiligten Parteien auf, lediglich eine „gemeinsame und genaue Darstellung der Geschehnisse“ zu erstellen, um eine ordnungsgemäße Bewertung des Falls und die Zusammenarbeit untereinander sicherzustellen. Die Organisation versicherte, dass sie eine mögliche Ausbreitung des Raubüberfalls auf den gesamten Bereich der dezentralen Finanzen (DeFi) bereits verhindert habe, und dass sie mit Aave, LayerZero und anderen wichtigen Stakeholdern zusammenarbeite, um die nächsten Schritte zu evaluieren und ähnliche Angriffe in Zukunft zu vermeiden.
