LayerZero Labs đã lên tiếng xin lỗi về một sự cố bảo mật gần đây, cho biết lỗi không ảnh hưởng đến giao thức cốt lõi nhưng đã tác động đến một ứng dụng với quy mô nhỏ trong hệ sinh thái.
Theo thông báo của đội ngũ, RPC nội bộ bị nhóm Lazarus tấn công, trong khi nhà cung cấp RPC bên ngoài cũng hứng DDoS, khiến nguồn dữ liệu dùng cho DVN bị nhiễm. LayerZero cho biết họ đã để DVN xử lý giao dịch giá trị lớn với cấu hình 1/1 và không giám sát đầy đủ nội dung được DVN bảo vệ.
LayerZero nói sự cố chỉ liên quan đến một ứng dụng, tương đương khoảng 0,14% tổng số ứng dụng trên mạng lưới và 0,36% giá trị tài sản. Đội ngũ cũng thừa nhận đã phản hồi chưa tốt trong ba tuần qua và cho rằng đây là một khoảng trống kiểm soát chưa được phát hiện kịp thời.
Song song với đó, LayerZero cho biết một người ký multisig đã từng dùng ví phần cứng multisig cho giao dịch cá nhân cách đây ba năm rưỡi. Người này đã bị loại khỏi hệ thống, ví được thay thế và nhóm đã phát triển OneSig để quản lý chữ ký đa bên theo cách riêng.
Về biện pháp khắc phục, LayerZero sẽ chuyển các đường dẫn mặc định sang cấu hình 5/5 hoặc 3/3, xây dựng thêm một DVN client viết bằng Rust và triển khai nền tảng quản lý chung có phát hiện bất thường cùng tích hợp OneSig. Đội ngũ cũng khuyến nghị các nhà phát triển tự chỉnh cấu hình, đặt số khối xác nhận hợp lý và dùng ít nhất hai DVN.