דוח L2BEAT מכוון למודל האבטחה של LayerZero

פרוטוקול חוצה שרשרת דוחה תביעות

LayerZero, פרוטוקול המאפשר העברת הודעות על פני רשתות בלוקצ'יין ומשמש יישומים המופקדים על מאות מיליוני דולרים, עורר בדיקה ב-5 בינואר על פגם אבטחה כביכול.

A פוסט מאת Krzysztof Urbański מ-L2BEAT, אתר ניתוח ומחקר המתמקד ב שכבה 2 וגשרים, הראו כיצד ניתן להגדיר מחדש בקלות יחסית יישום חוצה שרשרת שנפרס על LayerZero כדי לגנוב נכסים של משתמשים. התצורה מתרחשת כאשר שני רכיבים, הנקראים Oracle וה-Relayer, נשלטים על ידי אותו צד.

הטכנולוגיה הצולבת-שרשרת של LayerZero נמצאת בשימוש על ידי כמה מהפרוטוקולים הגדולים ביותר של DeFi, כולל מרכזיות מבוזרות כמו סושי החלפה ו-PancakeSwap, כמו גם בלוקצ'יין כמו ה-Aptos המהולל. 

Urbański לא מסכים עם LayerZero סקירה טכנית, מה שמצביע על כך שעיצוב הפרוטוקול מבטיח שהממסר לא יכול להתחבר עם ה-Oracle. 

"[מחברי העיתון] אפילו מצהירים באופן ישיר שכדי שהמכניקה שלהם תעבוד, נדרש שאורקל וממסר יהיו עצמאיים ואינם משתפים פעולה", אמר אורבנסקי ל-The Defiant. "אבל זה תלוי במפתחי האפליקציות לבחור מי משמש כ-Oracle ו-Relayer, אז הם חופשיים להגדיר את זה בצורה שהם למעשה תלויים ושהם כן משתפים פעולה."

הדו"ח הרים גבות מכיוון ש-LayerZero מכנה את עצמה פרוטוקול "חסר אמון" בספר הלבן שלה. חוסר אמון הוא עיקרון ליבה של פרוטוקולי קריפטו, השואפים לפתח מנגנונים, בין אם כלכליים ובין אם טכניים, המבטלים את הצורך בהתערבות אנושית. 

יתר על כן, פרויקטים המשתמשים ב-LayerZero מעבירים לעתים קרובות נכסים על פני בלוקצ'יין וסוגים אלה של יישומים צולבים שרשרת, הנקראים גשרים, היו אחד פגיע ביותר תת-מגזרים של קריפטו בשנת 2022, עם יותר מ-1B$ שהפסידו כתוצאה מניצול.

שיא של 760 מיליון דולר שנגנבו במהלך "Hacktober"

חודש רע לאבטחת DeFi מדגיש את המלכודות של שיטות נסיעה חופשית

LayerZero מגיב

הצוות ב-LayerZero Labs, החברה שמאחורי פרוטוקול LayerZero, לא מאמין ש-Urbański חשף משהו שעוד לא היה מידע ציבורי. 

"פרוטוקול LayerZero הוא בדיוק זה, פרוטוקול," אמר ריאן זריק, מייסד שותף ו-CTO ב-LayerZero Labs, ל-The Defiant. "אפשר לבנות על זה דברים טובים ורעים. בדיוק כמו שאתה יכול לבנות דברים טובים ורעים באינטרנט וב-blockchains."

ניתן להשתמש ב-LayerZero למגוון רחב של מקרי שימוש - SushiSwap משתמש בפרוטוקול כדי להקל על עסקאות בין בלוקצ'יין. צובר תשואה חוצה שרשרת בשם יָד אַחַת נמצא בפיתוח. ופרויקט בשם Gh0stly Gh0sts שהושק עם NFTs שיכולים לחצות blockchains מההתחלה באמצעות LayerZero באפריל. 

פתיחת עסקאות בין-בלוקצ'יין בטוחות יותר תהיה ברכה משמעותית לתעשיית הקריפטו, שסובלת מחוסר היעילות של נכסים ומידע שמוטמע על בלוקצ'יין בודדים. 

LayerZero הוא אחד הפרויקטים בעלי הפרופיל הגבוה ביותר כדי להקל על קישוריות בין בלוקצ'יין - LayerZero Labs גייסה מימון של 213 מיליון דולר, לפי קרנץ '.

בהקשר זה, הפוסט של Urbański הוא אזהרה חשובה לכל מי שמתרשם שאפליקציות הבנויות על LayerZero מאובטחות לחלוטין - עדיין יש מקום לטעויות.

מניע נסתר

Zarick של LayerZero Labs רואה מניע נסתר מאחורי הדו"ח.

"הבעיה העיקרית של L2BEAT היא שהם לא יכולים לנטר בקלות אוניברסלית את כל היישומים התומכים ב-LayerZero על ידי הסתכלות על קבוצה אחת של חוזים", אמר ל-The Defiant.

"ככל שיישומים חוצי שרשרת הופכים מורכבים יותר, L2Beat נדרש לכתוב כלי ניטור מותאמים ומסובכים כדי לנטר כראוי את האבטחה של יישומים אלה", המשיך Zarick. "הרבה יותר קל לסמן את כל היישומים התומכים ב-LayerZero כבלתי מאובטחים ולהכפיש אותם מאשר לבזבז את הזמן לבצע את העבודה בפועל בהערכה של כל אפליקציה."

אורבנסקי אמר ל-The Defiant שהוא לא מתכוון לייחד שום פרוטוקול. "אנחנו לא רוצים שהדיון הזה יתמקד רק ב-LayerZero, השתמשנו בו כדוגמה, אבל המטרה העיקרית היא בעצם להדגיש את סוגיות האבטחה ולעורר את הדיון."

בהמשך, בריאן פליגרון, מנכ"ל LayerZero Labs ו-Urbański מוסכם לדון בנושא נוסף ב-Twitter Space. "התוצאה האידיאלית עבורנו היא שאנחנו יוצאים עם כמה מסקנות שיהפכו גם את LayerZero וגם את המערכת האקולוגית לבטוחה יותר", אמר אורבנסקי.