Relatório L2BEAT visa o modelo de segurança da LayerZero

Protocolo de cadeia cruzada rejeita reivindicações

O LayerZero, um protocolo que permite mensagens entre blockchains e é usado por aplicativos aos quais são confiadas centenas de milhões de dólares, foi investigado em 5 de janeiro por uma suposta falha de segurança.

A postar por Krzysztof Urbański do L2BEAT, um site de análise e pesquisa que se concentra em Camada 2 e pontes, mostrou como um aplicativo de cadeia cruzada implantado no LayerZero poderia ser reconfigurado com relativa facilidade para roubar os ativos dos usuários. A configuração acontece quando dois componentes, chamados Oracle e Relayer, são controlados pela mesma parte.

A tecnologia cross-chain do LayerZero é usada por alguns dos maiores protocolos do DeFi, incluindo trocas descentralizadas como Sushiswap. e PancakeSwap, bem como blockchains como o tão badalado Aptos. 

Urbanski discorda do LayerZero whitepaper, o que indica que o design do protocolo garante que o Relayer não possa conspirar com o Oracle. 

“[Os autores do artigo] afirmam diretamente que, para que sua mecânica funcione, é necessário que o Oracle e o Relayer sejam independentes e não sejam coniventes”, disse Urbański ao The Defiant. “Mas cabe aos desenvolvedores de aplicativos escolher quem está servindo como Oracle e Relayer, para que eles sejam livres para configurá-lo de uma maneira que sejam realmente dependentes e coniventes.”

O relatório levantou as sobrancelhas porque o LayerZero se autodenomina um protocolo “sem confiança” em seu whitepaper. A falta de confiança é um princípio fundamental de protocolos criptográficos, que se empenham em desenvolver mecanismos, sejam econômicos ou técnicos, que eliminem a necessidade de intervenção humana. 

Além disso, os projetos que usam o LayerZero geralmente movem ativos entre blockchains e esses tipos de aplicativos de cadeia cruzada, chamados de pontes, foram um dos mais vulneráveis subsetores de cripto em 2022, com mais de US$ 1 bilhão perdidos para exploits.

Recorde de $ 760 milhões roubados em exploits durante 'Hacktober'

Mês ruim para a segurança DeFi destaca as armadilhas das práticas descontroladas

LayerZero Responde

A equipe da LayerZero Labs, a empresa por trás do protocolo LayerZero, não acredita que Urbański estivesse expondo qualquer coisa que já não fosse informação pública. 

“O protocolo LayerZero é apenas isso, um protocolo”, disse Ryan Zarick, cofundador e CTO da LayerZero Labs, ao The Defiant. “Você pode construir coisas boas e ruins em cima disso. Assim como você pode construir coisas boas e ruins na internet e blockchains.”

O LayerZero pode ser usado para uma ampla gama de casos de uso - o SushiSwap usa o protocolo para facilitar as negociações entre blockchains. Um agregador de rendimento de cadeia cruzada chamado Unissonância está em desenvolvimento. E um projeto chamado Gh0stly Gh0sts foi lançado com NFTs que poderiam cruzar blockchains desde o início usando o LayerZero em abril. 

Desbloquear transações inter-blockchain mais seguras seria um benefício significativo para a indústria cripto, que sofre com as ineficiências de ativos e informações isoladas em blockchains únicos. 

LayerZero é um dos projetos de maior perfil para facilitar a conectividade inter-blockchain - LayerZero Labs levantou US$ 213 milhões em financiamento, de acordo com Crunchbase.

Nesse contexto, a postagem de Urbański é uma ressalva importante para qualquer pessoa que tenha a impressão de que os aplicativos criados no LayerZero são completamente seguros - ainda há espaço para erros.

Motivo ulterior

Zarick, da LayerZero Labs, vê um motivo oculto por trás do relatório.

“O principal problema do L2BEAT é que eles não podem monitorar facilmente todos os aplicativos habilitados para LayerZero olhando para um único conjunto de contratos”, disse ele ao The Defiant.

“À medida que os aplicativos de cadeia cruzada se tornam mais complexos, o L2Beat é obrigado a escrever ferramentas de monitoramento personalizadas e complicadas para monitorar adequadamente a segurança desses aplicativos”, continuou Zarick. “É muito mais fácil marcar todos os aplicativos habilitados para LayerZero como inseguros e desacreditá-los do que gastar tempo fazendo o trabalho real de avaliação de cada aplicativo.”

Urbanski disse ao The Defiant que não pretendia destacar nenhum protocolo. “Não queremos que essa discussão se concentre apenas no LayerZero, nós o usamos como exemplo, mas o objetivo principal é realmente destacar os problemas de segurança e iniciar a discussão.”

Avançando, Bryan Pelliron, o CEO da LayerZero Labs, e Urbański têm concordaram para debater mais o assunto em um Twitter Space. “O resultado ideal para nós é chegarmos a algumas conclusões que tornarão o LayerZero e todo o ecossistema mais seguros”, disse Urbański.