Kelp pierde 116.500 rsETH por una configuración de firma única en LayerZero

ME News informó el 19 de abril (UTC+8) sobre el robo de 116.500 rsETH a Kelp. Yu Xian, de SlowMist, señaló en un análisis preliminar que el atacante habría aprovechado un puente cross-chain de LayerZero configurado con un DVN 1/1, el esquema clásico de "firma única", frente a la configuración 2/2 que recomienda por defecto la documentación oficial de LayerZero. Esta dependencia de un único punto de firma podría haber sido comprometida mediante ingeniería social (hipótesis; a la espera de la investigación). El atacante sustrajo con éxito 116.500 rsETH en Ethereum e intentó realizar dos transferencias adicionales de 40.000 rsETH cada una, que no llegaron a ejecutarse. Las comisiones de las transacciones procedían de Tornado Cash. Los 116.500 rsETH robados se dispersaron y se blanquearon, trasladando el impacto a distintas plataformas de staking; Aave figura entre las más afectadas y afronta ahora un volumen significativo de deuda incobrable. (Fuente: PANews)