Hack ao Kelp DAO Atribuído ao Grupo Lazarus; Sequestro de Domínio do eth.limo via Engenharia Social

Mensagem do Gate News, 20 de abril — A LayerZero divulgou conclusões preliminares sobre o exploit do Kelp DAO que ocorreu a 18 de abril, atribuindo o ataque a um agente de ameaça altamente sofisticado apoiado por um Estado, provavelmente o subgrupo do Lazarus da Coreia do Norte conhecido como TraderTraitor. O incidente resultou na perda de 116.500 tokens rsETH no valor de aproximadamente $292 milhões, representando o maior exploit DeFi deste ano.

De acordo com a investigação da LayerZero, os atacantes obtiveram acesso à lista de nós RPC utilizada pela rede descentralizada de verificação (DVN) da LayerZero Labs, um sistema de entidades independentes responsáveis por validar mensagens entre cadeias. Dois nós foram envenenados para transmitir uma mensagem fraudulenta, enquanto os atacantes lançaram em simultâneo um ataque de negação de serviço distribuído contra nós não comprometidos. A mensagem forjada foi aceite porque o Kelp DAO configurou a sua ponte usando uma configuração única 1-of-1 de DVN, sem um verificador secundário para detetar ou rejeitar a transação fraudulenta. A LayerZero tinha anteriormente aconselhado o Kelp DAO a diversificar a sua configuração de DVN. Em resposta, a LayerZero anunciou que deixará de assinar mensagens para aplicações que usem configurações 1/1 de DVN e que está a cooperar com as autoridades para seguir os fundos roubados.

Separadamente, a gateway do Ethereum Name Service, o eth.limo, revelou que o seu sequestro de domínio na sexta-feira, 18 de abril, foi causado por um ataque de engenharia social que visava o seu fornecedor de serviços, easyDNS. Um atacante personificou um membro da equipa do eth.limo e iniciou um processo de recuperação de conta, obtendo acesso à conta do eth.limo e modificando as definições de DNS para redirecionar o tráfego para infraestruturas controladas pela Cloudflare. A plataforma serve cerca de dois milhões de sítios web descentralizados usando o sistema de domínios .eth. No entanto, a Extensão de Segurança do Sistema de Nomes de Domínio (DNSSEC) limitou os danos ao adicionar verificação criptográfica aos registos DNS; como o atacante não tinha as chaves de assinatura necessárias, muitos resolvedores DNS rejeitaram os registos manipulados, impedindo redirecionamentos maliciosos. O CEO da EasyDNS, Mark Jeftovic, reconheceu a violação como o primeiro ataque de engenharia social bem-sucedido contra um cliente easyDNS no historial de 28 anos da empresa e afirmou que a empresa está a implementar melhorias de segurança para evitar incidentes semelhantes.