Raportul L2BEAT vizează modelul de securitate LayerZero

Protocolul Cross-Chain respinge revendicările

LayerZero, un protocol care permite mesageria prin blockchain și este folosit de aplicațiile cărora li se încredințează sute de milioane de dolari, a atras atenția pe 5 ianuarie pentru o pretinsă defecțiune de securitate.

A post de Krzysztof Urbański de la L2BEAT, un site web de analiză și cercetare care se concentrează pe Stratul 2s și poduri, au arătat cum o aplicație cross-chain implementată pe LayerZero ar putea fi relativ ușor reconfigurată pentru a fura activele utilizatorilor. Configurația are loc atunci când două componente, numite Oracle și Relayer, sunt controlate de aceeași parte.

Tehnologia cross-chain a LayerZero este utilizată de unele dintre cele mai mari protocoale DeFi, inclusiv schimburi descentralizate precum Schimb de sushi și PancakeSwap, precum și blockchain-uri precum Aptos. 

Urbański nu este de acord cu cei de la LayerZero whitepaper, ceea ce indică faptul că designul protocolului asigură faptul că Relayerul nu poate fi de acord cu Oracle. 

„[Autorii lucrării] afirmă chiar în mod direct că, pentru ca mecanica lor să funcționeze, este necesar ca Oracle și Relayer să fie independenți și să nu se complice”, a spus Urbański pentru The Defiant. „Dar depinde de dezvoltatorii de aplicații să aleagă cine servește ca Oracle și Relayer, așa că sunt liberi să o configureze într-un mod în care să fie de fapt dependenți și să se complice.”

Raportul a ridicat sprâncene, deoarece LayerZero se numește un protocol „fără încredere” în cartea sa. Neîncrederea este un principiu de bază al protocoale cripto, care se străduiesc să dezvolte mecanisme, fie ele economice sau tehnice, care să elimine necesitatea intervenției umane. 

În plus, proiectele care utilizează LayerZero mută adesea activele prin blockchain-uri și aceste tipuri de aplicații cross-chain, numite bridge-uri, au fost unul dintre cei mai vulnerabili subsectoarele cripto în 2022, cu peste 1 miliard USD pierdut din cauza exploit-urilor.

Record de 760 de milioane de dolari furați în exploatații în timpul „Hacktober”

Luna proastă pentru securitatea DeFi evidențiază capcanele practicilor de rulare liberă

LayerZero Răspunde

Echipa de la LayerZero Labs, compania din spatele protocolului LayerZero, nu crede că Urbański a expus ceva care nu era deja informație publică. 

„Protocolul LayerZero este doar un protocol”, a declarat Ryan Zarick, co-fondator și CTO la LayerZero Labs, pentru The Defiant. „Puteți construi lucruri bune și rele pe deasupra. La fel cum poți construi lucruri bune și rele pe internet și blockchains.”

LayerZero poate fi utilizat pentru o gamă largă de cazuri de utilizare — SushiSwap folosește protocolul pentru a facilita tranzacțiile între blockchains. Un agregator de randament cu lanțuri încrucișate numit Unison este în dezvoltare. Și un proiect numit Gh0stly Gh0sts a fost lansat cu NFT-uri care ar putea traversa blockchain-urile de la început folosind LayerZero în aprilie. 

Deblocarea tranzacțiilor inter-blockchain mai sigure ar fi un avantaj semnificativ pentru industria cripto, care suferă de ineficiența activelor și a informațiilor izolate pe un singur blockchain. 

LayerZero este unul dintre proiectele de cel mai înalt profil pentru a facilita conectivitatea inter-blockchain - LayerZero Labs a strâns 213 milioane USD în finanțare, potrivit Crunchbase.

În acest context, postarea lui Urbański este o avertizare importantă pentru oricine are impresia că aplicațiile construite pe LayerZero sunt complet sigure - mai este loc de eroare.

Motiv ascuns

Zarick de la LayerZero Labs vede un motiv ascuns în spatele raportului.

„Problema principală a L2BEAT este că nu pot monitoriza cu ușurință universal toate aplicațiile activate pentru LayerZero, analizând un singur set de contracte”, a spus el pentru The Defiant.

„Pe măsură ce aplicațiile cross-chain devin mai complexe, L2Beat trebuie să scrie instrumente de monitorizare personalizate și complicate pentru a monitoriza în mod corespunzător securitatea acestor aplicații”, a continuat Zarick. „Este mult mai ușor să marcați toate aplicațiile compatibile cu LayerZero ca nesigure și să le discreditați decât să petreceți timpul pentru a face munca efectivă în evaluarea fiecărei aplicații.”

Urbański a spus The Defiant că nu intenționează să evidențieze niciun protocol. „Nu dorim ca această discuție să se concentreze doar pe LayerZero, am folosit-o ca exemplu, dar scopul principal este de a evidenția problemele de securitate și de a declanșa discuția.”

Mergând înainte, Bryan Peligron, CEO al LayerZero Labs, și Urbański au de acord pentru a dezbate problema în continuare pe Twitter Space. „Rezultatul ideal pentru noi este că vom ieși cu niște concluzii care vor face atât LayerZero, cât și întregul ecosistem mai sigur”, a spus Urbański.