Raport L2BEAT skupia się na modelu bezpieczeństwa LayerZero

Protokół międzyłańcuchowy odrzuca roszczenia

LayerZero, protokół, który umożliwia przesyłanie wiadomości między łańcuchami bloków i jest używany przez aplikacje, którym powierzono setki milionów dolarów, został poddany kontroli 5 stycznia pod kątem rzekomej luki w zabezpieczeniach.

A pisać autorstwa Krzysztofa Urbańskiego z L2BEAT, serwisu analityczno-badawczego, który koncentruje się na Warstwa 2 i mosty pokazały, w jaki sposób aplikację międzyłańcuchową wdrożoną na LayerZero można stosunkowo łatwo zmienić w celu kradzieży zasobów użytkowników. Konfiguracja ma miejsce, gdy dwa komponenty, zwane Oracle i Relayer, są kontrolowane przez tę samą stronę.

Technologia międzyłańcuchowa LayerZero jest używana przez niektóre z największych protokołów DeFi, w tym zdecentralizowane giełdy, takie jak SushiZamień i PancakeSwap, a także łańcuchy bloków, takie jak bardzo popularny Aptos. 

Urbański nie zgadza się z LayerZero oficjalny dokument, co wskazuje, że projekt protokołu gwarantuje, że Przekaźnik nie może działać w zmowie z Wyrocznią. 

„[Autorzy artykułu] nawet wprost stwierdzają, że aby ich mechanika działała, wymagane jest, aby Oracle i Relayer były niezależne i nie działały w zmowie” – powiedział Urbański The Defiant. „Ale to do twórców aplikacji należy wybór, kto będzie służył jako Oracle i Relayer, więc mogą skonfigurować to w taki sposób, że są faktycznie zależni i że działają w zmowie”.

Raport uniósł brwi, ponieważ LayerZero nazywa się protokołem „bez zaufania” w swoim dokumencie. Nieufność jest podstawową zasadą protokoły kryptograficzne, które dążą do opracowania mechanizmów, czy to ekonomicznych, czy technicznych, które eliminują potrzebę interwencji człowieka. 

Co więcej, projekty korzystające z LayerZero często przenoszą zasoby między łańcuchami bloków, a tego typu aplikacje międzyłańcuchowe, zwane mostami, były jednymi z najsłabszych podsektorów kryptowalut w 2022 r., z ponad 1 mld USD utraconych z powodu exploitów.

Rekord 760 mln dolarów skradzionych w exploitach podczas „Hacktober”

Zły miesiąc dla bezpieczeństwa DeFi uwydatnia pułapki praktyk swobodnego obrotu

LayerZero odpowiada

Zespół LayerZero Labs, firmy stojącej za protokołem LayerZero, nie wierzy, że Urbański ujawniał cokolwiek, co nie było już publicznie dostępne. 

„Protokół LayerZero to po prostu protokół” — powiedział Ryan Zarick, współzałożyciel i dyrektor techniczny w LayerZero Labs, w rozmowie z The Defiant. „Możesz na tym budować dobre i złe rzeczy. Tak jak można budować dobre i złe rzeczy w Internecie i blockchainach”.

LayerZero może być używany w szerokim zakresie zastosowań — SushiSwap wykorzystuje protokół w celu ułatwienia handlu między łańcuchami bloków. Międzyłańcuchowy agregator zysków o nazwie Unisono jest w fazie rozwoju. A projekt o nazwie Gh0stly Gh0sts został uruchomiony z NFT, które mogą przekraczać łańcuchy bloków od samego początku za pomocą LayerZero w kwietniu. 

Odblokowanie bezpieczniejszych transakcji między łańcuchami bloków byłoby znaczącym dobrodziejstwem dla branży kryptograficznej, która cierpi z powodu nieefektywności aktywów i informacji przechowywanych w pojedynczych łańcuchach bloków. 

LayerZero to jeden z najbardziej znanych projektów ułatwiających łączność między łańcuchami bloków — LayerZero Labs zebrało fundusze w wysokości 213 mln USD, zgodnie z Crunchbase.

W tym kontekście post Urbańskiego jest ważnym zastrzeżeniem dla każdego, kto ma wrażenie, że aplikacje zbudowane na LayerZero są całkowicie bezpieczne — wciąż jest miejsce na błąd.

Ukryty motyw

Zarick z LayerZero Labs widzi ukryty motyw raportu.

„Głównym problemem L2BEATs jest to, że nie mogą łatwo i uniwersalnie monitorować wszystkich aplikacji obsługujących LayerZero, patrząc na jeden zestaw umów” – powiedział The Defiant.

„Ponieważ aplikacje międzyłańcuchowe stają się coraz bardziej złożone, L2Beat musi pisać dostosowane i skomplikowane narzędzia do monitorowania, aby właściwie monitorować bezpieczeństwo tych aplikacji” — kontynuował Zarick. „O wiele łatwiej jest oznaczyć wszystkie aplikacje obsługujące LayerZero jako niepewne i zdyskredytować je, niż poświęcić czas na rzeczywistą ocenę każdej aplikacji”.

Urbański powiedział The Defiant, że nie zamierza wyróżniać żadnego protokołu. „Nie chcemy, aby ta dyskusja koncentrowała się tylko na LayerZero, użyliśmy go jako przykładu, ale głównym celem jest zwrócenie uwagi na kwestie bezpieczeństwa i wywołanie dyskusji”.

Idąc dalej, Bryan Pelligron, dyrektor generalny LayerZero Labs i Urbański uzgodniony do dalszej debaty na ten temat na Twitterze Space. „Idealnym rozwiązaniem dla nas jest wyciągnięcie wniosków, które sprawią, że zarówno LayerZero, jak i cały ekosystem będą bezpieczniejsze” – powiedział Urbański.