L2BEAT-rapporten tar sikte på LayerZeros säkerhetsmodell

Cross-Chain Protocol avvisar anspråk

LayerZero, ett protokoll som möjliggör meddelanden över blockkedjor och som används av applikationer som har anförtrotts hundratals miljoner dollar, granskades den 5 januari för ett påstått säkerhetsbrist.

A inlägg av Krzysztof Urbański från L2BEAT, en analys- och forskningswebbplats som fokuserar på Lager 2s och broar, visade hur en tvärkedjeapplikation distribuerad på LayerZero relativt enkelt kunde konfigureras om för att stjäla användares tillgångar. Konfigurationen sker när två komponenter, kallade Oracle och Relayer, kontrolleras av samma part.

LayerZeros tvärkedjeteknologi används av några av DeFis största protokoll, inklusive decentraliserade utbyten som SushiByt och PancakeSwap, såväl som blockkedjor som den mycket hypade Aptos. 

Urbański håller inte med LayerZero's vitt papper, vilket indikerar att protokollets design säkerställer att Relayer inte kan samverka med Oracle. 

"[tidningens författare] säger till och med direkt att för att deras mekanik ska fungera krävs det att Oracle och Relayer är oberoende och inte samarbetar", sa Urbański till The Defiant. "Men det är upp till apputvecklare att välja vem som fungerar som Oracle och Relayer, så de är fria att ställa in det på ett sätt som de faktiskt är beroende och att de samarbetar."

Rapporten höjde på ögonbrynen eftersom LayerZero kallar sig ett "trustless" protokoll i sin whitepaper. Trolöshet är en grundsats i kryptoprotokoll, som strävar efter att utveckla mekanismer, vare sig de är ekonomiska eller tekniska, som eliminerar behovet av mänskligt ingripande. 

Dessutom flyttar projekt som använder LayerZero ofta tillgångar över blockkedjor och dessa typer av tvärkedjeapplikationer, kallade broar, var en av de mest utsatta undersektorer av krypto 2022, med över 1 miljard dollar förlorade på grund av exploateringar.

Rekord $760 miljoner stulna i exploater under "Hacktober"

Dålig månad för DeFi-säkerhet framhäver fallgroparna med frihjulsövningar

LayerZero svarar

Teamet på LayerZero Labs, företaget bakom LayerZero-protokollet, tror inte att Urbański avslöjade något som inte redan var offentlig information. 

"LayerZero-protokollet är just det, ett protokoll," sa Ryan Zarick, medgrundare och CTO på LayerZero Labs, till The Defiant. "Du kan bygga bra och dåliga saker ovanpå det. Precis som du kan bygga bra och dåliga saker på internet och blockkedjor.”

LayerZero kan användas för ett brett spektrum av användningsfall — SushiSwap använder protokollet för att underlätta affärer över blockkedjor. En korskedjad avkastningsaggregator kallas Unison är under utveckling. Och ett projekt som heter Gh0stly Gh0sts lanserades med NFTs som kunde korsa blockkedjor från början med LayerZero i april. 

Att låsa upp säkrare transaktioner mellan blockkedjorna skulle vara en betydande välsignelse för kryptoindustrin, som lider av ineffektiviteten hos tillgångar och information som slängs i enskilda blockkedjor. 

LayerZero är ett av de högst profilerade projekten för att underlätta inter-blockchain-anslutning — LayerZero Labs har samlat in 213 miljoner dollar i finansiering, enligt Crunch.

I detta sammanhang är Urbańskis inlägg en viktig varning för alla som har intrycket att appar byggda på LayerZero är helt säkra — det finns fortfarande utrymme för misstag.

Baktanke

LayerZero Labs Zarick ser en baktanke bakom rapporten.

"L2BEATs huvudproblem är att de inte enkelt kan övervaka alla LayerZero-aktiverade applikationer genom att titta på en enda uppsättning kontrakt", sa han till The Defiant.

"När applikationer över kedjan blir mer komplexa måste L2Beat skriva anpassade och komplicerade övervakningsverktyg för att korrekt övervaka säkerheten för dessa applikationer", fortsatte Zarick. "Det är mycket lättare att markera alla LayerZero-aktiverade applikationer som osäkra och misskreditera dem än att lägga tid på att göra själva arbetet med att utvärdera varje app."

Urbański sa till The Defiant att han inte hade för avsikt att peka ut något protokoll. "Vi vill inte att den här diskussionen bara ska fokusera på LayerZero, vi använde den som ett exempel, men huvudmålet är att faktiskt lyfta fram säkerhetsproblemen och väcka diskussionen."

Framåt har Bryan Pelligron, VD för LayerZero Labs och Urbański överens för att diskutera saken vidare på ett Twitter Space. "Det ideala resultatet för oss är att vi kommer med några slutsatser som kommer att göra både LayerZero och hela ekosystemet säkrare," sa Urbański.