#Gate13thAnniversaryLive Cấu trúc của Lỗ hổng

Trong khi tác động được cảm nhận trên toàn hệ sinh thái, "lỗ hổng kỹ thuật" mà bạn đề cập cụ thể là một lỗi cấu hình xác thực 1-đối-1 trong kiến trúc chuỗi chéo của KelpDAO (được hỗ trợ bởi LayerZero).
Hướng tấn công: Các hacker (liên kết bởi các công ty an ninh với nhóm Lazarus) đã sử dụng một cuộc tấn công DDoS tinh vi để làm sập các nút RPC hợp pháp. Điều này buộc phải chuyển sang các nút độc hại do họ kiểm soát.
"Việc phát hành": Bằng cách kiểm soát nguồn dữ liệu, họ đã lừa một xác thực viên duy nhất phê duyệt việc phát hành 116.500 rsETH (khoảng $292 triệu).
Chiến lược: Hacker nhanh chóng gửi các tài sản bị đánh cắp vào Aave V3 làm tài sản thế chấp để vay ETH đã đóng gói "sạch", tạo ra một lỗ nợ khổng lồ cho giao thức cho vay trước khi nó có thể bị đóng băng.
Can thiệp "Phẫu thuật" của Arbitrum
Bạn đã lưu ý rằng việc di chuyển ETH đã bị "hạn chế." Chính xác hơn, Hội đồng An ninh Arbitrum (một cơ quan gồm 12 thành viên) đã thực hiện bước chưa từng có là thực hiện hành động khẩn cấp để di chuyển 30.766 ETH (trị giá ~$71 triệu) khỏi địa chỉ của hacker.
Nghịch lý "An ninh vs. Phi tập trung"
Cuộc tranh luận bạn đề cập hiện đang ở mức cao trào.
Những người thực dụng: Cho rằng "DeFi đã thắng" vì $71 triệu đô la đã được thu hồi từ một nhóm hacker được nhà nước bảo trợ. Nếu không có "lưới an toàn" này, số tiền đó có lẽ đã nằm trong một bộ pha trộn tiền mã hóa rồi.
Những người thuần túy: Cho rằng nếu một hội đồng có thể "giả làm hacker" để di chuyển tiền mà không cần khóa riêng, thì "kháng cấm" của mạng lưới là một huyền thoại. Như một số nhà phê bình nói, "Nếu họ làm được với hacker, họ cũng làm được với bạn."
Chuyện gì tiếp theo?
Nhóm KelpDAO hiện đang làm việc về các cơ chế bồi thường, nhưng vì chỉ khoảng 25% số tiền bị đánh cắp đã được Arbitrum thu hồi (còn phần còn lại chuyển qua các chuỗi khác), con đường để người dùng trở lại 100% vẫn còn rất chông gai.
Sự cố này đã chấm dứt hiệu quả thời kỳ "di chuyển nhanh và phá vỡ mọi thứ" dành cho các hội đồng an ninh L2. Hiện tại, chúng ta đang chứng kiến một làn sóng lớn về xác thực đa chữ ký và các bộ cắt tự động không dựa vào can thiệp của con người.