Kelp-DAO-Hack wird der Lazarus-Gruppe zugeschrieben; eth.limo Domain Hijacked via Social Engineering

Gate-News-Meldung, 20. April — LayerZero veröffentlichte vorläufige Erkenntnisse zum Kelp-DAO-Exploit, der am 18. April stattfand, und schrieb den Angriff einem hochspezialisierten, staatlich unterstützten Akteur zu, wahrscheinlich der Nordkorea-Untergruppe der Lazarus Group, bekannt als TraderTraitor. Der Vorfall führte zum Verlust von 116.500 rsETH-Token im Wert von etwa $292 Millionen und markierte damit den größten DeFi-Exploit dieses Jahres.

Laut der Untersuchung von LayerZero verschafften sich Angreifer Zugriff auf die Liste der RPC-Knoten, die von LayerZero Labs’ dezentralem Verifier-Netzwerk (DVN) verwendet werden, einem System unabhängiger Entitäten, die Cross-Chain-Nachrichten validieren. Zwei Knoten wurden vergiftet, um eine betrügerische Nachricht zu übermitteln, während die Angreifer gleichzeitig einen verteilten Denial-of-Service-Angriff gegen nicht kompromittierte Knoten starteten. Die gefälschte Nachricht wurde akzeptiert, weil Kelp DAO seine Bridge mit einer einzigen 1-of-1-DVN-Konfiguration einrichtete, ohne sekundären Verifier, um die betrügerische Transaktion zu erkennen oder zurückzuweisen. LayerZero hatte Kelp DAO zuvor geraten, seine DVN-Konfiguration zu diversifizieren. Als Reaktion kündigte LayerZero an, künftig keine Nachrichten mehr für Anwendungen zu signieren, die 1/1-DVN-Konfigurationen verwenden, und arbeitet mit Strafverfolgungsbehörden zusammen, um die gestohlenen Gelder nachzuverfolgen.

Separat gab die Ethereum Name Service-Gateway eth.limo bekannt, dass ihr Domain Hijacking am Freitag, dem 18. April, durch einen Social-Engineering-Angriff verursacht wurde, der auf ihren Service-Provider easyDNS abzielte. Ein Angreifer gab sich als Teammitglied von eth.limo aus und leitete einen Account-Recovery-Prozess ein, wodurch er Zugriff auf das eth.limo-Konto erhielt und DNS-Einstellungen so veränderte, dass der Datenverkehr auf Cloudflare-kontrollierte Infrastruktur umgeleitet wurde. Die Plattform bedient ungefähr zwei Millionen dezentrale Websites über das .eth-Domänensystem. Die Domain Name System Security Extension (DNSSEC) begrenzte jedoch den Schaden, indem sie kryptografische Verifizierung zu DNS-Datensätzen hinzufügte; da dem Angreifer die erforderlichen Signierschlüssel fehlten, lehnten viele DNS-Resolver die manipulierten Datensätze ab, wodurch bösartige Umleitungen verhindert wurden. EasyDNS-CEO Mark Jeftovic bezeichnete die Sicherheitslücke als den ersten erfolgreichen Social-Engineering-Angriff auf einen easyDNS-Client in der 28-jährigen Geschichte des Unternehmens und erklärte, dass das Unternehmen Sicherheitsverbesserungen umsetzt, um ähnliche Vorfälle zu verhindern.