وایومینگ: لایه‌زیرو استیبل‌کوین دولتی را از دست داد، چین‌لینک جایگزین شد

اعتماد، نسخه بلاک‌چین. در تاریخ ۱۴ سپتامبر، مسئول امنیت سایبری کمیسیون توکن پایدار وایومینگ یک بیانیه طولانی علیه لایه‌زیرو منتشر کرد. او به تازگی این ارائه‌دهنده را با چین‌لینک جایگزین کرده است تا استیبل‌کوین دولتی FRNT را بین هشت بلاک‌چین جابجا کند. مجوز تولید هرگز منتقل نشده، کلید خصوصی به‌خوبی کنترل نشده است. این دو نقص کافی است تا اتهام را تقویت کند، که به آن افشاگری‌های ناکافی در مورد حوادث گذشته نیز اضافه می‌شود. چند ساعت بعد، مدیر لایه‌زیرو با استناد به آدرس‌های تراکنش بلاک‌چین پاسخ می‌دهد. این درگیری دو نسخه غیرقابل سازش از یک انتقال کلید مشابه را به نمایش می‌گذارد. این موضوع مربوط به یک استیبل‌کوین است که به اوراق قرضه خزانه‌داری ایالات متحده متصل است و در حال حاضر در هشت شبکه مستقر شده است.

نکات کلیدی این مقاله:

• وایومینگ لایه‌زیرو را با چین‌لینک برای تأمین امنیت استیبل‌کوین دولتی FRNT جایگزین کرده است، پس از اتهاماتی درباره نقص‌های امنیتی.
• لایه‌زیرو با ارائه شواهدی در بلاک‌چین به اتهامات پاسخ داده است، اما قبلاً اعتماد چندین مشتری بزرگ را از دست داده است.

FRNT و کلید فراموش‌شده، بیانیه وایومینگ

کیت لاهورن، مسئول امنیت سایبری کمیسیون، جزئیات تحقیق خود را در یک رشته منتشر شده در X توضیح می‌دهد. او این رشته را در ساعت ۱۴:۵۷ به وقت پاریس منتشر می‌کند. نقطه شروع به آوریل برمی‌گردد. حمله ۲۹۲ میلیون دلاری خزانه KelpDAO را پس از نفوذ به زیرساخت RPC لایه‌زیرو لبز خالی کرده است. این هک به احتمال زیاد کار هکرهای کره شمالی بوده است. این شوک باعث شد وایومینگ وابستگی خود به لایه‌زیرو برای FRNT را بررسی کند. این استیبل‌کوین اولین استیبل‌کوین صادر شده توسط یک ایالت آمریکایی است که در هشت شبکه (آربیتوم، آوالانچ، بیس، اتریوم، هیدرا، اپتیمیزم، پالیگان و سولانا) مستقر شده است. همچنین به اوراق قرضه خزانه‌داری ایالات متحده به میزان ۱۰۲٪ مازاد وثیقه متصل است.

این بررسی برای لایه‌زیرو به خوبی پیش نرفت. بدتر از آن، با بررسی این مشکل دسترسی، تیم وایومینگ ادعا می‌کند که کشف کرده‌اند که یک کلید خصوصی حیاتی هنوز تحت کنترل لایه‌زیرو است. با این حال، لایه‌زیرو از آن برای مدیریت یک استقرار واقعی FRNT استفاده می‌کرد، در حالی که باید تحت نظارت کمیسیون قرار می‌گرفت. به این موارد، افشاگری‌های ناکافی در مورد حوادث گذشته، چه عمومی و چه خصوصی، اضافه کنید. کمیسیون می‌گوید که هیچ گزینه‌ای جز قطع ارتباط برای حفاظت از دارندگان توکن نداشته است.

لایه‌زیرو شواهدی از روی زنجیره ارائه می‌دهد

هفت ساعت بعد، در ساعت ۱۹:۵۰، هم‌بنیان‌گذار و مدیرعامل لایه‌زیرو در یک رشته جداگانه پاسخ می‌دهد. او این را به عنوان یک ترتیب مجدد در برابر انتشاراتی که او آن‌ها را اغراق‌آمیز می‌داند، ارائه می‌دهد. نسخه او: لایه‌زیرو FRNT را به درخواست وایومینگ بر روی سولانا مستقر کرده است، با تمام افزونه‌ها فعال. تنها یک افزونه، «مقدار UI مقیاس‌بندی‌شده»، در پی آن منتقل نشده است. به گفته او، این یک سهل‌انگاری از هر دو طرف است.

از نظر فنی، این تفاوت اهمیت دارد. این افزونه، مقدار UI مقیاس‌بندی‌شده، تنها برای نمایش یک عامل مقیاس از مقادیر در رابط استفاده می‌شود. این امکان را نمی‌دهد که توکن‌ها ضرب، سوزانده یا منجمد شوند. در واقع، این افزونه هرگز از ارزش پیش‌فرض خود در طول تمام دوره مربوطه حرکت نکرده است. به محض اینکه این فراموشی گزارش شد، انتقال به کیف پول وایومینگ کمتر از ۲۴ ساعت طول کشید. لایه‌زیرو آدرس‌های روی زنجیره را به عنوان شواهد منتشر کرد. پله‌گرینو اتهام «کلید گم‌شده» را نادرست و حتی نسبتاً شگفت‌انگیز می‌داند. تراکنش انتقال در واقع توسط هر کسی در بلاک‌چین سولانا قابل مشاهده است.

لایه‌زیرو در برابر Kelp، Kraken و وایومینگ زمین را از دست می‌دهد

وایومینگ یک مورد منحصر به فرد نیست. Kraken و پلتفرم Restaking Lombard از LayerZero به نفع Chainlink CCIP از ماه مه، چند هفته پس از حمله KelpDAO، کناره‌گیری کردند. هدف از این کار تأمین امنیت بیت‌کوین محصور kBTC و دارایی‌های آینده‌ای بود که در این صرافی محصور می‌شوند. این سه کناره‌گیری بیش از چهار میلیارد دلار ارزش را به زیرساخت Chainlink منتقل کرده است.

حمله KelpDAO همچنان قطعه مرکزی این پرونده است. طبق تحقیقات CoinDesk، مهاجمان وابسته به کره شمالی زیرساخت RPC که توسط LayerZero Labs استفاده می‌شد را به خطر انداختند. این امر امکان ایجاد یک پیام بین زنجیره‌ای را فراهم کرد که وجوه را بر روی اتریوم آزاد می‌کرد. این رویداد در واقع هرگز در Unichain رخ نداده است. LayerZero از آن زمان مسئولیت خود را در این حادثه پذیرفته است. با این حال، برای ناشران تحت نظارت، پروتکلی که اجازه چنین دستکاری‌هایی را داده است، نگران‌کننده است. این موضوع بیشتر از یک اشکال ساده است.

Chainlink CCIP و SOC 2 که شش روز دیرتر رسید

در رشته توییت خود، Lawhorn همچنین انتخاب Chainlink CCIP را با یک لیست از معیارهای فنی توجیه می‌کند. شانزده اپراتور گره مستقل باید هر پیام را قبل از امضا تأیید کنند. محدودیت‌های ترافیکی بر اساس توکن، مسیر و جهت تنظیم می‌شوند تا ارزش قابل جابجایی در یک بازه زمانی مشخص را محدود کنند. استاندارد CCT در نهایت به ناشران مالکیت قراردادهای خود را بدون وابستگی به کد یک تأمین‌کننده واحد تضمین می‌کند. به این موضوع یک گواهی SOC 2 نوع 2 اضافه می‌شود. طبق گفته Lawhorn، LayerZero در زمان بررسی امنیت این گواهی را ارائه نمی‌داد. مشکل این است که این لیست تقریباً کلمه به کلمه استدلال‌هایی را که Chainlink در حساب خود مطرح می‌کند، تکرار می‌کند. این جزئیات چیزی از دقت آن‌ها کم نمی‌کند، اما دعوت به بررسی آن‌ها به جای کپی‌برداری می‌کند.

حسابرسی وایومینگ نیز قدیمی بود

و بررسی یک شگفتی را به همراه دارد. LayerZero Labs در تاریخ 8 سپتامبر اعلام کرد که گواهی SOC 2 نوع 1 و نوع 2 را برای کل زیرساخت خود دریافت کرده است. این شش روز قبل از انتشار رشته توییت Lawhorn بود. فاصله عدم انطباقی که کمیسیون به عنوان یک استدلال قاطع مطرح می‌کند، بنابراین زمانی که آن را عمومی کرد، قبلاً بسته شده بود. بررسی امنیت وایومینگ، به نوبه خود، قبل از پایان آگوست انجام شده است. این استدلال در زمان حسابرسی معتبر بود، اما در زمان انتشار دیگر معتبر نبود.

این تأخیر هیچ تغییری در نقص‌های فاش شده توسط حمله KelpDAO یا مشروعیت انتخاب عملی وایومینگ ایجاد نمی‌کند. یک وضعیت امنیتی در حوزه کریپتو به سرعت منقضی می‌شود. یک نهاد نظارتی که به استدلال‌های بازاریابی یک تأمین‌کننده، حتی اگر جدید باشد، تکیه کند، بهتر است قبل از انتشار، برگه‌های خود را دوباره بررسی کند. این دقیقاً همان الزامی است که وایومینگ اکنون به LayerZero تحمیل می‌کند، این بار به خود آن. یک ایالت دیگر که در حال آماده‌سازی برای راه‌اندازی استیبل‌کوین خود است، باید با این نوع رقابت کنار بیاید. همین امر برای بانکی که در حال آماده‌سازی یک پل بین زنجیره‌ای برای دارایی‌های توکن‌شده خود است نیز صدق می‌کند. گواهی‌های امنیتی کریپتو هرگز به دست نیامده‌اند: آن‌ها باید با هر اعلامیه‌ای دوباره بررسی شوند.