Der L2BEAT-Bericht zielt auf das Sicherheitsmodell von LayerZero ab

Cross-Chain-Protokoll weist Ansprüche zurück

LayerZero, ein Protokoll, das Blockchain-übergreifendes Messaging ermöglicht und von Anwendungen verwendet wird, denen Hunderte von Millionen Dollar anvertraut sind, wurde am 5. Januar wegen einer angeblichen Sicherheitslücke untersucht.

A Post von Krzysztof Urbański von L2BEAT, einer Analyse- und Forschungswebsite, die sich auf Schicht 2s und Bridges, zeigte, wie eine auf LayerZero bereitgestellte Cross-Chain-Anwendung relativ einfach neu konfiguriert werden kann, um die Assets der Benutzer zu stehlen. Die Konfiguration erfolgt, wenn zwei Komponenten, genannt Oracle und Relayer, von derselben Partei gesteuert werden.

Die Cross-Chain-Technologie von LayerZero wird von einigen der größten Protokolle von DeFi verwendet, einschließlich dezentraler Börsen wie Sushi-Tausch und PancakeSwap sowie Blockchains wie das viel gehypte Aptos. 

Urbański ist mit LayerZero nicht einverstanden Whitepaper, was darauf hinweist, dass das Design des Protokolls sicherstellt, dass der Relayer nicht mit dem Oracle zusammenarbeiten kann. 

„[Die Autoren des Papiers] erklären sogar direkt, dass es erforderlich ist, damit ihre Mechanik funktioniert, dass Oracle und Relayer unabhängig sind und nicht konspirieren“, sagte Urbański gegenüber The Defiant. „Aber es ist Sache der App-Entwickler, zu entscheiden, wer als Oracle und Relayer fungiert, also können sie es so einrichten, dass sie tatsächlich abhängig sind und Absprachen treffen.“

Der Bericht sorgte für Aufsehen, weil sich LayerZero in seinem Whitepaper selbst als „trustless“-Protokoll bezeichnet. Vertrauenslosigkeit ist ein Kerngrundsatz von Kryptoprotokolle, die danach streben, wirtschaftliche oder technische Mechanismen zu entwickeln, die menschliches Eingreifen überflüssig machen. 

Darüber hinaus verschieben Projekte, die LayerZero verwenden, häufig Assets über Blockchains hinweg, und diese Art von Cross-Chain-Anwendungen, Bridges genannt, waren eine davon verletzlichsten Untersektoren von Krypto im Jahr 2022, mit über 1 Milliarde Dollar Verlust durch Exploits.

Rekord: 760 Millionen Dollar gestohlene Exploits während des „Hacktober“

Schlechter Monat für DeFi-Sicherheit hebt Fallstricke von Freilaufpraktiken hervor

LayerZero antwortet

Das Team von LayerZero Labs, dem Unternehmen hinter dem LayerZero-Protokoll, glaubt nicht, dass Urbański irgendetwas preisgegeben hat, das nicht bereits öffentliche Informationen waren. 

„Das LayerZero-Protokoll ist genau das, ein Protokoll“, sagte Ryan Zarick, Mitbegründer und CTO bei LayerZero Labs, gegenüber The Defiant. „Man kann darauf gute und schlechte Dinge aufbauen. Genauso wie man gute und schlechte Dinge im Internet und in Blockchains bauen kann.“

LayerZero kann für eine Vielzahl von Anwendungsfällen verwendet werden – SushiSwap verwendet das Protokoll, um den Handel über Blockchains hinweg zu erleichtern. Ein Cross-Chain-Ertragsaggregator namens Unisono befindet sich in der Entwicklung. Und ein Projekt namens Gh0stly Gh0sts, das mit NFTs gestartet wurde und Blockchains von Anfang an mit LayerZero im April überqueren konnte. 

Das Freischalten sichererer Transaktionen zwischen Blockchains wäre ein erheblicher Segen für die Kryptoindustrie, die unter der Ineffizienz von Vermögenswerten und Informationen leidet, die in einzelnen Blockchains gespeichert sind. 

LayerZero ist eines der bekanntesten Projekte zur Erleichterung der Konnektivität zwischen Blockchains – LayerZero Labs hat laut eigenen Angaben 213 Millionen US-Dollar an Finanzmitteln aufgebracht Crunchbase.

In diesem Zusammenhang ist der Beitrag von Urbański ein wichtiger Vorbehalt für alle, die den Eindruck haben, dass auf LayerZero erstellte Apps absolut sicher sind – es gibt immer noch Raum für Fehler.

Hintergedanke

Zarick von LayerZero Labs sieht hinter dem Bericht einen Hintergedanken.

„Das Hauptproblem von L2BEAT ist, dass sie nicht einfach alle LayerZero-fähigen Anwendungen universell überwachen können, indem sie sich einen einzigen Satz von Verträgen ansehen“, sagte er gegenüber The Defiant.

„Da kettenübergreifende Anwendungen immer komplexer werden, muss L2Beat angepasste und komplizierte Überwachungstools schreiben, um die Sicherheit dieser Anwendungen ordnungsgemäß zu überwachen“, fuhr Zarick fort. „Es ist viel einfacher, alle LayerZero-fähigen Anwendungen als unsicher zu markieren und sie zu diskreditieren, als die Zeit für die eigentliche Arbeit mit der Bewertung jeder App zu verbringen.“

Urbański sagte The Defiant, dass er nicht die Absicht habe, irgendein Protokoll herauszugreifen. „Wir möchten nicht, dass sich diese Diskussion nur auf LayerZero konzentriert, wir haben es als Beispiel verwendet, aber das Hauptziel ist es, die Sicherheitsprobleme tatsächlich hervorzuheben und die Diskussion anzuregen.“

Weiter geht es mit Bryan Pelligron, dem CEO von LayerZero Labs, und Urbański Übereinstimmung um die Angelegenheit in einem Twitter Space weiter zu diskutieren. „Das ideale Ergebnis für uns ist, dass wir einige Schlussfolgerungen ziehen, die sowohl LayerZero als auch das gesamte Ökosystem sicherer machen“, sagte Urbański.