Laporan L2BEAT Membidik Model Keamanan LayerZero

Protokol Lintas Rantai Menolak Klaim

LayerZero, sebuah protokol yang memungkinkan perpesanan lintas blockchain dan digunakan oleh aplikasi yang dipercayakan dengan ratusan juta dolar, menarik perhatian pada 5 Januari untuk dugaan kelemahan keamanan.

A pos oleh Krzysztof Urbański dari L2BEAT, situs analitik dan penelitian yang berfokus pada Lapisan 2s dan jembatan, menunjukkan bagaimana aplikasi lintas rantai yang diterapkan pada LayerZero dapat dengan mudah dikonfigurasi ulang untuk mencuri aset pengguna. Konfigurasi terjadi ketika dua komponen, yang disebut Oracle dan Relayer, dikendalikan oleh pihak yang sama.

Teknologi lintas rantai LayerZero digunakan oleh beberapa protokol terbesar DeFi, termasuk pertukaran terdesentralisasi seperti Tukar Sushi dan PancakeSwap, serta blockchain seperti Aptos yang banyak digemari. 

Urbanski tidak setuju dengan LayerZero whitepaper, yang menunjukkan bahwa desain protokol memastikan bahwa Relayer tidak dapat berkolusi dengan Oracle. 

"[Penulis makalah] bahkan secara langsung menyatakan bahwa agar mekanik mereka berfungsi, Oracle dan Relayer harus independen dan tidak berkolusi," kata Urbański kepada The Defiant. “Tapi terserah pengembang aplikasi untuk memilih siapa yang berperan sebagai Oracle dan Relayer, jadi mereka bebas mengaturnya dengan cara yang benar-benar bergantung dan mereka berkolusi.”

Laporan tersebut mengangkat alis karena LayerZero menyebut dirinya sebagai protokol "tidak dapat dipercaya" dalam whitepaper-nya. Ketidakpercayaan adalah prinsip inti dari protokol kripto, yang berusaha mengembangkan mekanisme, baik ekonomi maupun teknis, yang menghilangkan kebutuhan akan campur tangan manusia. 

Selanjutnya, proyek yang menggunakan LayerZero sering memindahkan aset melintasi blockchain dan jenis aplikasi lintas rantai ini, yang disebut jembatan, adalah salah satunya paling rentan sub-sektor crypto pada tahun 2022, dengan lebih dari $1 miliar hilang karena eksploitasi.

Rekam $ 760M Dicuri dalam Eksploitasi Selama 'Hacktober'

Bulan Buruk untuk Keamanan DeFi Menyoroti Jebakan Praktik Freewheeling

LayerZero Menanggapi

Tim di LayerZero Labs, perusahaan di balik protokol LayerZero, tidak percaya bahwa Urbański mengungkap apa pun yang belum menjadi informasi publik. 

“Protokol LayerZero hanyalah sebuah protokol,” kata Ryan Zarick, salah satu pendiri dan CTO di LayerZero Labs, kepada The Defiant. “Anda dapat membangun hal-hal baik dan buruk di atasnya. Sama seperti Anda dapat membangun hal-hal baik dan buruk di internet dan blockchain.”

LayerZero dapat digunakan untuk berbagai kasus penggunaan — SushiSwap menggunakan protokol untuk memfasilitasi perdagangan lintas blockchain. Pengumpul hasil lintas rantai disebut Keserempakan sedang dalam pengembangan. Dan sebuah proyek bernama Gh0stly Gh0sts diluncurkan dengan NFT yang dapat melintasi blockchain dari awal menggunakan LayerZero pada bulan April. 

Membuka kunci transaksi antar-blockchain yang lebih aman akan menjadi keuntungan yang signifikan bagi industri crypto, yang menderita karena inefisiensi aset dan informasi yang disimpan dalam satu blockchain. 

LayerZero adalah salah satu proyek profil tertinggi untuk memfasilitasi konektivitas antar-blockchain — LayerZero Labs telah mengumpulkan $213 juta dalam pendanaan, menurut Crunchbase.

Dalam konteks ini, postingan Urbański merupakan peringatan penting bagi siapa pun yang merasa bahwa aplikasi yang dibuat di LayerZero benar-benar aman — masih ada ruang untuk kesalahan.

Motif Tersembunyi

Zarick dari LayerZero Labs melihat motif tersembunyi di balik laporan tersebut.

“Masalah utama L2BEAT adalah bahwa mereka tidak dapat dengan mudah memantau secara universal semua aplikasi yang mengaktifkan LayerZero dengan melihat satu set kontrak,” katanya kepada The Defiant.

“Karena aplikasi lintas rantai menjadi lebih kompleks, L2Beat diharuskan menulis alat pemantauan yang disesuaikan dan rumit untuk memantau keamanan aplikasi ini dengan benar,” lanjut Zarick. “Jauh lebih mudah untuk menandai semua aplikasi yang mendukung LayerZero sebagai tidak aman dan mendiskreditkannya daripada menghabiskan waktu untuk melakukan pekerjaan sebenarnya dalam mengevaluasi setiap aplikasi.”

Urbański memberi tahu The Defiant bahwa dia tidak bermaksud memilih protokol apa pun. “Kami tidak ingin diskusi ini hanya berfokus pada LayerZero, kami menggunakannya sebagai contoh, tetapi tujuan utamanya adalah untuk benar-benar menyoroti masalah keamanan dan memicu diskusi.”

Ke depan, Bryan Pelligron, CEO dari LayerZero Labs, dan Urbanski telah melakukannya sepakat untuk memperdebatkan masalah ini lebih lanjut di Twitter Space. “Hasil yang ideal bagi kami adalah kami keluar dengan beberapa kesimpulan yang akan membuat LayerZero dan seluruh ekosistem lebih aman,” kata Urbanski.