LayerZero, 290 Milyon Dolarlık Kelp DAO Saldırısını ‘Tekil Doğrulayıcı’ Mimarisine Bağladı

LayerZero, 290 Milyon Dolarlık ‘Kelp DAO’ Saldırısının Sorumluluğunu “Kendi Güvenlik Ayarlarına” Bağladı

LayerZero, yaklaşık ‘290 milyon dolar’ büyüklüğündeki Kelp DAO saldırısında sorumluluğun kendi protokol kodundan değil, projenin tercih ettiği ‘güvenlik ayarlarından’ kaynaklandığını savundu. Şirket, ‘tekil doğrulayıcı’ (1-of-1 validator) yapısının saldırının temel ‘zayıf halkası’ olduğunu belirtiyor. ‘yorum: Burada LayerZero, olayın mimari tercihlerden doğduğunu vurgulayarak protokol ölçeğindeki itibar riskini sınırlamaya çalışıyor.’

Bu saldırı, akıllı sözleşme kodunu doğrudan hedef almak yerine, ‘altyapı katmanını’ vurdu. Özellikle zincirler arası mesaj doğrulama sürecinin kendisi bozuldu ve bu da saldırıyı klasik “kod açığı” vakalarından ayıran en kritik nokta oldu.

LayerZero’nun açıklamalarına göre Kelp DAO, mesaj doğrulamada ‘1-of-1 doğrulayıcı’ kullandı. Yani tek bir doğrulayıcının onayı, işlemin geçerli sayılması için yeterliydi. Bu model, birden çok bağımsız doğrulayıcının mutabakatını gerektiren ‘çoklu doğrulayıcı’ yaklaşımlarından belirgin biçimde ayrılıyor ve genel kabul görmüş güvenlik tavsiyeleriyle de çelişiyor.

LayerZero, uzun süredir birden fazla bağımsız tarafın onayını gerektiren ‘çoklu DVN(‘çoklu dağıtık doğrulama ağı’)’ mimarisini öneriyordu. ‘tekil doğrulayıcı’ kullanılan ortamlarda, tek bir veri kaynağının ele geçirilmesi bile sahte bir mesajın ‘geçerli’ olarak imzalanmasına yetebiliyor. Kelp DAO’ya yönelik saldırı tam da bu yapısal zayıflığı hedef aldı ve süreci adım adım istismar etti.

Saldırganların ilk adımı, doğrulayıcının bağlı olduğu ‘iki RPC düğümünü’ ele geçirmek oldu. ‘RPC düğümleri’, blokzincirindeki verileri okuyan ve yazan, dolayısıyla zincirler arası mesajların doğrulanmasında kritik rol üstlenen sunucular. Hackerlar, bu düğümlerdeki çalıştırılabilir dosyaları ‘zararlı bir ikili’ ile değiştirerek, yalnızca doğrulayıcıya giden veriyi manipüle etti. Böylece doğrulayıcıya ‘sahte işlemler’ gösterilirken, ağdaki diğer bileşenlere ‘normal veriler’ iletilmeye devam edildi.

LayerZero’nun izleme araçlarının da aynı RPC altyapısını sorgulaması nedeniyle, bu ‘seçici manipülasyon’ uzun süre tespit edilemedi. Güvenlik katmanları, saldırganın sahte veri beslediği kaynakla aynı bakış açısına kilitlendiği için, içerideki çarpıtmayı fark edemedi.

Saldırganlar bunlarla da yetinmedi. Aynı anda, ‘harici ve sağlıklı RPC düğümlerine’ yönelik bir hizmet aksatma saldırısı (DDoS) başlattılar. Bu DDoS baskısı sonucu sistem otomatik olarak ‘kirlenmiş’ düğümlere yöneldi ve oradan gelen manipüle edilmiş veriyi ‘doğru’ kabul etti. Zincirler arası mesajlar bu sahte veriye dayanarak onaylandığında, saldırganlar toplam ‘116.500 rsETH’yi’ çekmeyi başardı.

LayerZero, saldırının arkasında ‘Kuzey Kore bağlantılı Lazarus grubu’ ve onun alt kolu ‘TraderTraitor’ olduğuna dair güçlü emareler bulunduğunu belirtiyor. Bu yapıların, 1’inde Drift Protocol ve 18’inde Kelp DAO olmak üzere sadece ‘18 gün içinde iki büyük saldırı’ gerçekleştirdiği, toplamda ise ‘yaklaşık 575 milyon dolar’ tutarında varlık kaçırdığı tahmin ediliyor.

Drift saldırısında ‘yönetişim imzacılarını kandırmaya’ dayalı gelişmiş ‘sosyal mühendislik’ kullanılırken, Kelp DAO olayında ‘altyapı manipülasyonu’ öne çıktı. ‘yorum: Aynı grup, kısa sürede tamamen farklı saldırı vektörleri kullanarak başarılı oldukça, DeFi ekosisteminin karşısındaki tehdit spektrumu da genişliyor.’ Uzmanlara göre bu çeşitlilik, Lazarus kaynaklı operasyonların hem teknik hem de operasyonel olgunluğunun arttığına işaret ediyor.

LayerZero, yaşananları “protokol seviyesinde bir açık” olarak değil, “belirli bir entegrasyonun yanlış yapılandırılması” olarak tanımlıyor. Şirketin açıklamasına göre ‘çoklu doğrulayıcı’ altyapısı kullanan uygulamalar ve ‘OFT standardı’na sahip tokenlar bu saldırıdan etkilenmedi. Ayrıca sistem genelinde ‘bulaşıcı bir risk’ oluşturacak zincirleme zafiyet de tespit edilmedi.

Bununla birlikte şirket, ‘tekil doğrulayıcı’ ile çalışan tüm uygulamalar için ‘mesaj imzalamayı durdurduğunu’ ve bu projelerden ‘çoklu doğrulama mimarisine geçiş’ talep ettiğini duyurdu. Kelp DAO cephesi ise şimdilik LayerZero’nun bu değerlendirmelerine ilişkin ‘resmi bir yanıt’ paylaşmış değil.

Bu olay, DeFi güvenliğinin odağının yalnızca ‘akıllı sözleşme kodları’ ile sınırlı kalamayacağını gösteriyor. ‘tasarım tercihleri’, ‘operasyonel süreçler’ ve ‘altyapı bileşenleri’ de en az kod kadar kritik hale geliyor. Saldırı teknikleri bu hızla çeşitlenirken, savunma tarafındaki mimari ve operasyonel güncellemeler aynı tempoda ilerlemezse, benzer ‘altyapı odaklı’ saldırıların tekrarlanma ihtimali giderek güçleniyor.