Kelp DAO wechselt nach 292-Mio.-Dollar-Angriff von LayerZero zu Chainlink

Kelp DAO, das DeFi-Kreditprotokoll im Zentrum des Brücken-Exploits über 292 Mio. US-Dollar im vergangenen Monat, ersetzt LayerZero als Cross-Chain-Infrastruktur durch Chainlink. Ein Chainlink-Sprecher erklärte gegenüber The Block, Kelp DAO sei damit "das erste große Protokoll, das LayerZero seit dem LayerZero-Sicherheitsvorfall verlässt". Viele Beobachter sehen LayerZero zumindest mitverantwortlich. Am 18. April nutzte ein Angreifer, der mit Nordkoreas Lazarus Group in Verbindung gebracht wird, eine Single-Validator-Konfiguration der LayerZero-Bridge für Omnichain Fungible Token (OFT) aus und entwendete 116.500 rsETH von Kelp DAO. LayerZero kritisierte Kelps 1:1-Setup im dezentralen Validatornetzwerk (DVN) und verwies darauf, man warne vor Single-Validator-Konfigurationen. Kelp DAO und weitere Beobachter halten dagegen, dass eine 1:1-Konfiguration bei LayerZero als Standardempfehlung für das Onboarding neuer Nutzer gelte. Eine von Kelp zitierte Analyse kommt zu dem Ergebnis, dass 47% von rund 2.665 LayerZero-Anwendungen Probleme aufwiesen; bei Angriffen sei jeweils dieselbe Single-Validator-Konfiguration im Einsatz gewesen. LayerZero kündigte anschließend an, keine Signaturen mehr für Single-Verifier-Konfigurationen bereitzustellen. Chainlinks Decentralized Oracle Network (DON) verlangt für die Verifizierung von Cross-Chain-Transaktionen mindestens 16 unabhängige Node-Operatoren. Kelp DAO erklärte, die Migration zu Chainlink CCIP behebe die zentrale architektonische Schwachstelle, die in dem Vorfall ausgenutzt wurde. Neben der Umstellung von Kelp DAO auf das CrossChain Interoperability Protocol (CCIP) soll rsETH zudem den CrossChain Token (CCT)-Standard übernehmen. Nach Angaben von Chainlink hat die Infrastruktur bislang ein Cross-Chain-Transaktionsvolumen von über 30 Billionen US-Dollar unterstützt. Im Rahmen der laufenden Initiative "DeFi United" wurde nach dem Angriff Unterstützung zur Wiederherstellung der Finanzierung von rsETH organisiert. LayerZero steuerte rund 10.000 ETH bei, darunter eine Spende von 5.000 ETH an Aave sowie ein Darlehen über 5.000 ETH. Insgesamt wurden bisher mehr als 300 Mio. US-Dollar in Kryptowährungen eingesammelt. Am Wochenende reichten mutmaßliche Opfer eines früheren nordkoreanischen Hackerangriffs Klage gegen DeFi United ein. Ziel ist es, 30.766 ETH zu beschlagnahmen, die der Arbitrum-DAO-Sicherheitsrat nach der Kelp-DAO-Schwachstelle eingefroren hatte. Zuvor hatte die Arbitrum DAO dafür gestimmt, diese ETH an die DeFi-United-Plattform freizugeben. Aave stellte am Montag einen Eilantrag, um die Klage abweisen zu lassen und die vorläufige Sperre der Mittel aufzuheben.