Autor: Gu Yu, ChainCatcher
Después de más de 40 horas del robo, las reacciones en cadena provocadas por Kelp DAO continúan desarrollándose, involucrando no solo a proyectos conocidos como Aave, LayerZero y Arbitrum, sino incluso alcanzando el punto de sentenciar a muerte algunas narrativas populares.
El conocido KOL Feng Wuxiang declaró en la plataforma X que solo ETH es seguro, y que ARB también autorizó la congelación y transferencia de activos de los clientes. Ninguna L2 es una verdadera L2. L2 nació con Arbitrum y también morirá con Arbitrum.
Otro conocido KOL, Lan Hu, señaló que la mayor pérdida en el incidente de Kelp no es para Aave ni para Kelp, sino para LayerZero, pero es demasiado miope para ver la esencia real del evento. La esencia de este incidente no es refutar las L2 (las L2 falsas no cuentan), sino refutar los puentes cross-chain.
Cada vez aparecen más opiniones intensas en la esfera de la opinión pública, y las partes involucradas en el incidente se culpan mutuamente y se disputan, lo que convierte el robo de Kelp DAO en una ventana típica para observar la asignación de responsabilidades en incidentes de seguridad, y el conflicto entre el pragmatismo y el fundamentalismo técnico.
一、¿L0 refutado? Los puentes cross-chain son los mayores perdedores
El punto clave del evento fue el informe detallado del ataque hacker publicado ayer por LayerZero, que preliminarmente identificó al atacante como el grupo de origen norcoreano Lazarus Group. El ataque se realizó envenenando la infraestructura RPC downstream de la que depende su red de validación descentralizada (DVN). Los atacantes controlaron parte de los nodos RPC y combinaron esto con un ataque DDoS, induciendo al sistema a cambiar a nodos maliciosos, thereby falsifying cross-chain transactions.
“El uso de nodos comprometidos para ataques de envenenamiento contra la infraestructura RPC, combinado con ataques DDoS contra RPC no afectados para forzar una transferencia de fallos, es un método muy sofisticado. Esto es esencialmente una guerra de infraestructura”, comentó Samuel Tse, Director de Inversiones y Alianzas de Animoca Brands.
Al final del informe, LayerZero declaró que el protocolo funcionó completamente según lo previsto durante todo el incidente. No se encontró ninguna vulnerabilidad en el protocolo. La característica central de la arquitectura de LayerZero es la seguridad modular, y en este caso, logró perfectamente su objetivo previsto, aislando todo el ataque dentro de una sola aplicación: riesgo cero de contagio para todo el sistema, y otras OFT u OApp tampoco se vieron afectadas.
Esta absoluta renuncia a su propia responsabilidad se convirtió en el detonante de una enorme reacción de la opinión pública, y muchas figuras conocidas de la industria expresaron su insatisfacción con el desempeño de LayerZero en este incidente.
“L0 se lava las manos. Todo el artículo echa la culpa a la configuración errónea de KelpDAO, y no admite ningún problema propio. Increíble. Pregunto, ¿por qué se permite la configuración 1/1? ¿Por qué los atacantes pudieron obtener la lista interna de RPC? ¿Por qué la lógica de failover, después del DDoS, confió directamente en el RPC contaminado, en lugar de detener la validación o hacer algo, cualquier cosa?” cuestionó el conocido investigador de la industria CM.
“Esta actitud evasiva me hace sentir incómodo. La declaración decía claramente 'el protocolo funcionó completamente como se esperaba'. El ataque se describió como nodos RPC comprometidos y envenenamiento RPC. Pero el envenenamiento RPC no es así, su propia infraestructura fue invadida y comprometida. Dado que la declaración no explica cómo ocurrió la intrusión, no me apresuraré a reactivar el bridging”, dijo el conocido desarrollador de DeFi, banteg.
Kelp DAO también emitió una declaración oficial, indicando que la configuración de validador único (1/1) que condujo a este ataque no fue una elección hecha ignorando las recomendaciones, sino la configuración predeterminada en la guía oficial de LayerZero, y que la red de validadores (DVN) explotada por los atacantes era una infraestructura propia de LayerZero.
Según un análisis de Dune, entre los 2665 contratos OApp basados en LayerZero, el 47% utiliza una configuración DVN 1/1, es decir, un mecanismo de validación único, lo que amplifica enormemente el riesgo para la industria.
Más aterrador que tener problemas es que las partes involucradas no admitan errores y los evadan. LayerZero, como el principal actor en la comunicación cross-chain y la narrativa Layer0, tiene cientos de proyectos de cifrado utilizando su infraestructura cross-chain para puentear tokens y activos entre diferentes cadenas. Si mantiene una actitud arrogante, inevitablemente afectará aún más la confianza de la industria.
La opinión generalizada es que LayerZero, aunque no fue hackeado directamente, sufrió el mayor daño reputacional: debe pagar el precio por "permitir configuraciones débiles", de lo contrario, la narrativa cross-chain colapsará.
Es decir, LayerZero no solo necesita proponer medidas técnicas de mejora claras, sino también asumir más responsabilidad en el plan de compensación de activos.
二、¿Ha muerto Layer2? La congelación extraordinaria de Arbitrum
La discusión sobre Layer2 provino de la acción de congelación de Arbitrum. Al mediodía de hoy, el Comité de Seguridad de Arbitrum anunció que había tomado medidas de emergencia para rescatar 30,766 ETH, valorados actualmente en 71 millones de dólares, que el hacker había depositado en una dirección de Arbitrum One.
Arbitrum también declaró que, después de una extensa investigación técnica y deliberación, el Comité de Seguridad determinó y ejecutó una solución técnica para transferir los fondos a un lugar seguro sin afectar ningún otro estado de la cadena o a los usuarios de Arbitrum. La dirección que originalmente contenía los fondos ya no puede acceder a ellos, y solo la gobernanza de Arbitrum puede tomar más acciones para transferir estos fondos, acción que se coordinará con las partes relevantes.
Según la interpretación de expertos de la industria, el Comité de Seguridad de Arbitrum utilizó un tipo de transacción privilegiada de sobrescritura de estado (que es parte de ArbOS, pero básicamente nunca se usó), de modo que la clave privada del atacante aún podía firmar transacciones, pero los ETH de esa dirección fueron transferidos por la cadena misma.
Este tipo de transacción especial evitó por completo la clave privada del atacante; solo la cadena misma (a través de la ruta de actualización de sequencer / ArbOS, controlada por el Comité de Seguridad de Arbitrum) pudo inyectarla.
Se sabe que el Comité de Seguridad de Arbitrum está compuesto por 12 individuos elegidos por Arbitrum DAO, y cualquier decisión requiere la aprobación de 9 de ellos.
Una piedra lanzada al lago causó grandes olas. Anteriormente, para el mundo exterior, Arbitrum, como una Layer2 representativa, no tenía la capacidad ni el permiso para manejar los activos ETH de los usuarios, ya que esto va en contra del espíritu descentralizado de blockchain.
En incidentes de hacking pasados, USDT y USDC robados por hackers a menudo podían ser congelados de inmediato por Tether y Circle para reducir las pérdidas de los usuarios. ETH, como activo nativo de la cadena, no tenía precedentes de ser congelado y transferido por la cadena misma, y estaba fuera del rango de expectativas de la gran mayoría de usuarios.
Muchas opiniones apoyan la acción de Arbitrum, como "Todas las empresas, bancos e instituciones financieras regulares eventualmente adoptarán una arquitectura de segundo nivel. Operar como una entidad centralizada en momentos clave no es un defecto, sino una ventaja". Pero para más entusiastas de la tecnología, este no es el caso.
“Sin necesidad de clave privada, sin necesidad de autorización, transferencia directa.” Desde muchas perspectivas, esta operación de Arbitrum redefine el grado de descentralización de Layer2, lo que les hace carecer de sensación de seguridad en Layer2.
Lan Hu直言, este incidente ya ha tocado directamente la línea roja ideológica central de DeFi: "Not Your keys, not your coins". Este incidente vuelve al clásico dilema de la criptografía: seguridad pragmática vs seguridad completamente descentralizada.
Conclusión
Cuando LayerZero dice "el protocolo funcionó completamente como se esperaba", conserva la corrección técnica, pero pierde la opinión pública y la confianza; cuando Arbitrum utiliza una transacción privilegiada para transferir 71 millones de dólares en ETH, salva los fondos de los usuarios, pero asesta un duro golpe a la narrativa descentralizada de Layer2.
La controversia por el robo de Kelp lleva simultáneamente a juicio las dos narrativas más candentes: ¿son los puentes cross-chain infraestructura o amplificadores de riesgo? ¿Es Layer2 una expansión confiable de Ethereum, o un banco secundario disfrazado de descentralización?
LayerZero fue comprometido debido a su mecanismo de nodo validador único, y Arbitrum utilizó un mecanismo de votación especial centralizado para recuperar las pérdidas de LayerZero y Kelp DAO. Esto forma un círculo extremadamente irónico: un protocolo que se jacta de ser descentralizado colapsa por su "vulnerabilidad de punto único"; finalmente, tiene que depender del "privilegio centralizado" de otro protocolo para resolver la situación.
Obliga a toda la industria a enfrentar una pregunta nunca respondida frontalmente: cuando el ideal de descentralización choca con el costo de seguridad de la realidad, ¿qué lado estamos dispuestos a sacrificar?
La discusión de la gran narrativa es un foco de la opinión pública, y el plan de compensación para los usuarios es otro foco de la opinión pública real. Aunque Arbitrum recuperó más de 71 millones de dólares mediante medios técnicos, Aave todavía tiene una deuda incobrable de casi 200 millones de dólares. ¿Cómo se deben mantener y proteger los intereses de los usuarios?
En la gran mayoría de incidentes de hacking, pérdidas del orden de millones de dólares son catastróficas para un protocolo, y el reembolso a los usuarios generalmente no llega a buen puerto. Pero este incidente involucra a proyectos estrella líderes como Aave y LayerZero, por lo que su plan de manejo de deuda incobrable es muy seguido.
Aave propuso hoy dos posibles planes para manejar la deuda incobrable. El primero es socializar la pérdida entre todos los tenedores de rsETH (distribución en toda la cadena), Kelp DAO realiza una reducción de valor unificada para todos los rsETH (mainnet + L2) (despegue aproximado del 15%); el segundo es que solo los tenedores de rsETH en L2 asuman todas las pérdidas, manteniendo el rsETH de mainnet su valor original.
Sin embargo, Kelp DAO y LayerZero oficialmente aún no han hablado sobre el papel que desempeñarían en el plan de compensación. Por la actitud de LayerZero en el informe de intentar eludir responsabilidades, no es difícil ver que el proyecto cree que sin responsabilidad no hay obligación de compensar.
No obstante, un protocolo con una valoración de decenas de miles de millones de dólares, del que dependen cientos de proyectos como infraestructura subyacente, que elige la "exención de responsabilidad técnica" frente a pérdidas masivas causadas por su configuración predeterminada de DVN, es en sí mismo una enorme ironía para la definición de "infraestructura subyacente".
Esta es una trampa de prisioneros típica. Todas las partes en crisis intentan minimizar sus propias pérdidas mediante el "corte de intereses", en lugar de reparar el déficit de confianza de la industria mediante la responsabilidad compartida.
Por el impacto negativo de este incidente en todas las partes de la industria, para el campo de DeFi, esta será la trampa de prisioneros más peligrosa de la historia.
