Η αναφορά L2BEAT στοχεύει στο μοντέλο ασφαλείας του LayerZero

Πρωτόκολλο Cross-Chain Απορρίπτει αξιώσεις

Το LayerZero, ένα πρωτόκολλο που επιτρέπει την ανταλλαγή μηνυμάτων σε blockchains και χρησιμοποιείται από εφαρμογές στις οποίες εμπιστεύονται εκατοντάδες εκατομμύρια δολάρια, εξετάστηκε στις 5 Ιανουαρίου για ένα υποτιθέμενο ελάττωμα ασφαλείας.

A θέση από τον Krzysztof Urbański του L2BEAT, έναν ιστότοπο ανάλυσης και έρευνας που εστιάζει σε Στρώμα 2 και γέφυρες, έδειξαν πώς μια εφαρμογή cross-chain που αναπτύσσεται στο LayerZero θα μπορούσε σχετικά εύκολα να διαμορφωθεί εκ νέου για να κλέβει τα περιουσιακά στοιχεία των χρηστών. Η διαμόρφωση πραγματοποιείται όταν δύο στοιχεία, που ονομάζονται Oracle και Relayer, ελέγχονται από το ίδιο μέρος.

Η τεχνολογία cross-chain του LayerZero χρησιμοποιείται από μερικά από τα μεγαλύτερα πρωτόκολλα της DeFi, συμπεριλαμβανομένων των αποκεντρωμένων ανταλλαγών όπως Ανταλλαγή σούσι και PancakeSwap, καθώς και blockchain όπως το πολυδιαφημισμένο Aptos. 

Ο Urbański διαφωνεί με το LayerZero whitepaper, το οποίο υποδεικνύει ότι η σχεδίαση του πρωτοκόλλου διασφαλίζει ότι το Relayer δεν μπορεί να συνεννοηθεί με το Oracle. 

«[Οι συγγραφείς της εφημερίδας] δηλώνουν ακόμη και ευθέως ότι για να λειτουργήσουν οι μηχανικοί τους, απαιτείται η Oracle και η Relayer να είναι ανεξάρτητες και να μην συνεννοούνται», είπε ο Urbański στο The Defiant. "Αλλά εναπόκειται στους προγραμματιστές εφαρμογών να επιλέξουν ποιος θα λειτουργεί ως Oracle και Relayer, ώστε να είναι ελεύθεροι να το ρυθμίσουν με τρόπο που να εξαρτώνται πραγματικά και να συμπαιγνούν."

Η αναφορά προκάλεσε ανησυχία επειδή το LayerZero αυτοαποκαλείται «αξιόπιστο» πρωτόκολλο στη λευκή του βίβλο. Η έλλειψη εμπιστοσύνης είναι μια βασική αρχή πρωτόκολλα κρυπτογράφησης, που προσπαθούν να αναπτύξουν μηχανισμούς, οικονομικούς ή τεχνικούς, που εξαλείφουν την ανάγκη για ανθρώπινη παρέμβαση. 

Επιπλέον, τα έργα που χρησιμοποιούν το LayerZero συχνά μετακινούν περιουσιακά στοιχεία σε blockchains και αυτοί οι τύποι εφαρμογών cross-chain, που ονομάζονται γέφυρες, ήταν ένας από τους πιο ευάλωτες υποτομείς της κρυπτογράφησης το 2022, με πάνω από 1 δισεκατομμύριο δολάρια να χάνονται λόγω εκμεταλλεύσεων.

Ρεκόρ 760 εκατομμυρίων δολαρίων που έκλεψαν σε κατορθώματα κατά τη διάρκεια του "Hacktober"

Ο κακός μήνας για την ασφάλεια του DeFi επισημαίνει παγίδες των πρακτικών ελεύθερου τροχού

Το LayerZero ανταποκρίνεται

Η ομάδα της LayerZero Labs, η εταιρεία πίσω από το πρωτόκολλο LayerZero, δεν πιστεύει ότι ο Urbański εξέθεσε κάτι που δεν ήταν ήδη δημόσια πληροφορία. 

«Το πρωτόκολλο LayerZero είναι ακριβώς αυτό, ένα πρωτόκολλο», είπε ο Ryan Zarick, συνιδρυτής και CTO στα LayerZero Labs, στο The Defiant. «Μπορείς να χτίσεις καλά και κακά πράγματα πάνω από αυτό. Ακριβώς όπως μπορείτε να δημιουργήσετε καλά και κακά πράγματα στο Διαδίκτυο και τα blockchain».

Το LayerZero μπορεί να χρησιμοποιηθεί για ένα ευρύ φάσμα περιπτώσεων χρήσης — Το SushiSwap χρησιμοποιεί το πρωτόκολλο για να διευκολύνει τις συναλλαγές μεταξύ των blockchains. Καλείται ένας συσσωρευτής απόδοσης διασταυρούμενης αλυσίδας Ομοφωνία βρίσκεται σε ανάπτυξη. Και ένα έργο που ονομάζεται Gh0stly Gh0sts κυκλοφόρησε με NFT που θα μπορούσαν να διασχίσουν blockchain από την αρχή χρησιμοποιώντας το LayerZero τον Απρίλιο. 

Το ξεκλείδωμα των ασφαλέστερων συναλλαγών μεταξύ των μπλοκ αλυσίδων θα ήταν ένα σημαντικό όφελος για τη βιομηχανία κρυπτογράφησης, η οποία υποφέρει από την αναποτελεσματικότητα των περιουσιακών στοιχείων και των πληροφοριών που αποτυπώνονται σε μεμονωμένες αλυσίδες μπλοκ. 

Το LayerZero είναι ένα από τα έργα με το υψηλότερο προφίλ για τη διευκόλυνση της συνδεσιμότητας μεταξύ μπλοκ αλυσίδων — Η LayerZero Labs έχει συγκεντρώσει 213 εκατομμύρια δολάρια σε χρηματοδότηση, σύμφωνα με Crunchbase.

Σε αυτό το πλαίσιο, η ανάρτηση του Urbański είναι μια σημαντική προειδοποίηση για οποιονδήποτε έχει την εντύπωση ότι οι εφαρμογές που έχουν δημιουργηθεί στο LayerZero είναι απολύτως ασφαλείς — υπάρχει ακόμα περιθώριο λάθους.

Υστεροβουλία

Ο Zarick των LayerZero Labs βλέπει ένα απώτερο κίνητρο πίσω από την αναφορά.

«Το κύριο ζήτημα των L2BEAT είναι ότι δεν μπορούν εύκολα να παρακολουθούν καθολικά όλες τις εφαρμογές με δυνατότητα LayerZero εξετάζοντας ένα ενιαίο σύνολο συμβάσεων», είπε στο The Defiant.

«Καθώς οι εφαρμογές cross-chain γίνονται πιο περίπλοκες, το L2Beat απαιτείται να γράψει προσαρμοσμένα και πολύπλοκα εργαλεία παρακολούθησης για να παρακολουθεί σωστά την ασφάλεια αυτών των εφαρμογών», συνέχισε ο Zarick. "Είναι πολύ πιο εύκολο να επισημάνετε όλες τις εφαρμογές με δυνατότητα LayerZero ως ανασφαλείς και να τις δυσφημίσετε παρά να αφιερώσετε χρόνο για να κάνετε την πραγματική δουλειά στην αξιολόγηση κάθε εφαρμογής."

Ο Urbański είπε στο The Defiant ότι δεν σκόπευε να ξεχωρίσει κανένα πρωτόκολλο. «Δεν θέλουμε αυτή η συζήτηση να επικεντρωθεί μόνο στο LayerZero, το χρησιμοποιήσαμε ως παράδειγμα, αλλά ο κύριος στόχος είναι να επισημάνουμε πραγματικά τα ζητήματα ασφάλειας και να πυροδοτήσουμε τη συζήτηση».

Προχωρώντας, ο Bryan Pelligron, ο Διευθύνων Σύμβουλος της LayerZero Labs και ο Urbański έχουν σύμφωνος για να συζητήσουμε περαιτέρω το θέμα σε ένα Twitter Space. «Το ιδανικό αποτέλεσμα για εμάς είναι να βγάλουμε κάποια συμπεράσματα που θα κάνουν ασφαλέστερα τόσο το LayerZero όσο και ολόκληρο το οικοσύστημα», είπε ο Urbański.