L2BEAT-rapporten tar sikte på LayerZeros sikkerhetsmodell

Cross-Chain Protocol avviser krav

LayerZero, en protokoll som muliggjør meldinger på tvers av blokkjeder og brukes av applikasjoner som er betrodd med hundrevis av millioner av dollar, ble undersøkt 5. januar for en påstått sikkerhetsfeil.

A poste av Krzysztof Urbański fra L2BEAT, et analyse- og forskningsnettsted som fokuserer på Lag 2s og broer, viste hvordan en tverrkjedeapplikasjon distribuert på LayerZero relativt enkelt kunne rekonfigureres for å stjele brukernes eiendeler. Konfigurasjonen skjer når to komponenter, kalt Oracle og Relayer, kontrolleres av samme part.

LayerZeros tverrkjedeteknologi brukes av noen av DeFis største protokoller, inkludert desentraliserte utvekslinger som Sushi Bytt og PancakeSwap, samt blokkjeder som de mye hypede Aptos. 

Urbański er uenig med LayerZero whitepaper, som indikerer at protokollens design sikrer at Relayer ikke kan samarbeide med Oracle. 

"[Avisens forfattere] uttaler til og med direkte at for at mekanikken deres skal fungere, kreves det at Oracle og Relayer er uavhengige og ikke samarbeider," sa Urbański til The Defiant. "Men det er opp til apputviklere å velge hvem som fungerer som Oracle og Relayer, så de står fritt til å sette det opp på en måte at de faktisk er avhengige og at de samarbeider."

Rapporten hevet øyenbrynene fordi LayerZero kaller seg selv en "tillitsløs" protokoll i sin whitepaper. Troløshet er et kjerneprinsipp i kryptoprotokoller, som streber etter å utvikle mekanismer, enten de er økonomiske eller tekniske, som eliminerer behovet for menneskelig intervensjon. 

Videre flytter prosjekter som bruker LayerZero ofte eiendeler på tvers av blokkkjeder, og disse typene tverrkjedeapplikasjoner, kalt broer, var en av mest sårbare undersektorer av krypto i 2022, med over $1 milliard tapt på grunn av utnyttelser.

Rekord på $760 millioner stjålet i utnyttelser under «Hacktober»

Dårlig måned for DeFi-sikkerhet fremhever fallgruvene ved frikjøringspraksis

LayerZero svarer

Teamet ved LayerZero Labs, selskapet bak LayerZero-protokollen, tror ikke at Urbański avslørte noe som ikke allerede var offentlig informasjon. 

"LayerZero-protokollen er nettopp det, en protokoll," sa Ryan Zarick, medgründer og CTO ved LayerZero Labs, til The Defiant. "Du kan bygge gode og dårlige ting på toppen av det. Akkurat som du kan bygge gode og dårlige ting på internett og blokkjeder."

LayerZero kan brukes til et bredt spekter av brukstilfeller - SushiSwap bruker protokollen for å lette handel på tvers av blokkjeder. En krysskjedeutbytteaggregator kalt Unison er i utvikling. Og et prosjekt kalt Gh0stly Gh0sts ble lansert med NFT-er som kunne krysse blokkjeder fra starten ved å bruke LayerZero i april. 

Å låse opp sikrere inter-blockchain-transaksjoner vil være en betydelig velsignelse for kryptoindustrien, som lider av ineffektiviteten til eiendeler og informasjon som er lagt i enkeltblokkjeder. 

LayerZero er et av de høyest profilerte prosjektene for å legge til rette for inter-blockchain-tilkobling - LayerZero Labs har samlet inn 213 millioner dollar i finansiering, ifølge Crunch.

I denne sammenhengen er Urbańskis innlegg et viktig forbehold for alle som har inntrykk av at apper bygget på LayerZero er helt sikre – det er fortsatt rom for feil.

Ytterste motiv

LayerZero Labs' Zarick ser en baktanke bak rapporten.

"L2BEATs hovedproblem er at de ikke enkelt kan overvåke alle LayerZero-aktiverte applikasjoner ved å se på et enkelt sett med kontrakter," sa han til The Defiant.

"Når tverrkjedeapplikasjoner blir mer komplekse, er L2Beat pålagt å skrive tilpassede og kompliserte overvåkingsverktøy for å overvåke sikkerheten til disse applikasjonene på riktig måte," fortsatte Zarick. "Det er mye lettere å merke alle LayerZero-aktiverte applikasjoner som usikre og diskreditere dem enn å bruke tid på å gjøre selve arbeidet med å evaluere hver app."

Urbański fortalte The Defiant at han ikke hadde til hensikt å skille ut noen protokoll. "Vi vil ikke at denne diskusjonen bare skal fokusere på LayerZero, vi brukte den som et eksempel, men hovedmålet er å faktisk fremheve sikkerhetsproblemene og sette i gang diskusjonen."

Fremover har Bryan Pelligron, administrerende direktør i LayerZero Labs, og Urbański avtalte å debattere saken videre på et Twitter Space. "Det ideelle resultatet for oss er at vi kommer med noen konklusjoner som vil gjøre både LayerZero og hele økosystemet tryggere," sa Urbański.