LayerZero、Lazarus攻撃における単一バリデーターの欠陥を認め、マルチバリデーターセキュリティの刷新を約束

BitcoinWorld

LayerZero、Lazarus攻撃におけるシングルバリデーターの欠陥を認め、マルチバリデーターへのセキュリティ刷新を約束

クロスチェーンメッセージングプロトコルであるLayerZero（ZRO）は、過去のインシデントにおいて北朝鮮のハッキンググループLazarusが同社のインフラを悪用することを可能にした重大なセキュリティ上のミスを公式に認めた。公式Xアカウントへの率直な投稿において、同プロジェクトはコミュニケーション不足を謝罪し、分散型認証ネットワーク（DVN）のサブコンポーネントをシングルバリデーターモードで運用していたことが重大な誤りであったと認めた。

攻撃中に何が起きたか

今回のインシデントは、LayerZeroのDVN内のサブRPCの悪用を伴うものであった。同プロジェクトの声明によると、Lazarusグループはこの侵害されたサブRPCを通じてデータを改ざんすることに成功した。同時に、外部RPCプロバイダーが分散型サービス拒否（DDoS）攻撃を受け、運用上の混乱をさらに深刻化させた。LayerZeroは、コアプロトコル自体は影響を受けておらず、LayerZeroネットワークからユーザー資金が直接失われたわけではないと強調した。しかしながら、このイベントはより広範なKelp DAO rsETHのエクスプロイトと結びついており、攻撃者はブリッジを利用して不正資金を移動させた。

シングルバリデーターモード：根本原因

LayerZeroの事後分析では、シングルバリデーター構成が根本的な弱点として特定された。分散型認証ネットワークにおいて、シングルバリデーターは単一障害点を生み出す。そのバリデーターが侵害されたりオフラインになった場合、認証プロセス全体が破壊または停止する可能性がある。同プロジェクトは、この構成が重大な設計上の欠陥であり、状況の深刻さをコミュニティに適時に伝えることができなかったと認めた。

今後の道筋：マルチバリデーターとインフラの刷新

これを受けて、LayerZeroは包括的なセキュリティアップグレードを発表した。同プロトコルはシングルバリデーター構成を直ちに廃止し、少なくとも3:3の閾値を必要とするマルチバリデーターシステム——つまり3人のうち3人全員のバリデーターがトランザクションの認証に合意しなければならない——にデフォルト構成を移行する。この変更により単一障害点が排除され、ネットワークは非中央集権型セキュリティに関する業界のベストプラクティスに準拠する。

セキュリティインフラの完全刷新

バリデーターの変更にとどまらず、LayerZeroはセキュリティインフラの完全な刷新を計画している。これには、新しいクライアントソフトウェアの開発、重要な管理操作に対するマルチシグ・ウォレット（multisig）システムの導入、および統合コンソール管理プラットフォームの展開が含まれる。これらの措置は、より優れたモニタリング、迅速なインシデント対応、そしてLazarusのような高度な脅威アクターに対するより高い全体的な耐性を提供するよう設計されている。

なぜこれが重要か

このインシデントは、より広範なDeFiおよびクロスチェーンエコシステムにとっての警鐘となる。ブリッジやメッセージングプロトコルがブロックチェーン間で価値を移動させるための重要なインフラとなるにつれて、そのセキュリティ構成は最高水準で維持されなければならない。シングルバリデーター構成は運用上はより単純かもしれないが、国家支援のハッキンググループが積極的に狙っている脆弱性をもたらす。LayerZeroの認識と是正措置は信頼を再構築するための一歩であるが、このエピソードはプロトコル開発者とますます高度化する攻撃者との間で続く軍拡競争を浮き彫りにしている。

まとめ

LayerZeroが過去のセキュリティ失敗を認め、マルチバリデーターへの移行を約束したことは、重大なインシデントへの遅ればせながらも必要な対応である。3:3バリデーターシステムへの移行は、より広範なインフラアップグレードと相まって、意義ある改善を示している。クロスチェーンインフラに依存するユーザーや開発者にとって、このエピソードは、依存するプロトコルに対して透明性と堅牢なセキュリティ構成を求めることの重要性を改めて示している。

よくある質問

Q1：LayerZeroプロトコル自体がハッキングされたのか？
いいえ。LayerZeroはコアプロトコルが影響を受けていないと述べた。攻撃は分散型認証ネットワーク（DVN）のサブRPCおよび外部RPCプロバイダーを標的にした。

Q2：このインシデントでユーザーは資金を失ったか？
LayerZeroは自社ネットワークからのユーザー資金の直接的な損失を報告していない。このインシデントはKelp DAO rsETHのエクスプロイトと関連しており、そこでブリッジが攻撃チェーンの一部として使用された。

Q3：3:3マルチバリデーターシステムとは何か？
3:3システムは、トランザクションが認証される前に、セット内の3人のバリデーター全員がトランザクションを確認することを必要とする。これにより、シングルバリデーター構成に存在する単一障害点が排除され、より強力なセキュリティ保証が提供される。

この記事「LayerZero、Lazarus攻撃におけるシングルバリデーターの欠陥を認め、マルチバリデーターへのセキュリティ刷新を約束」はBitcoinWorldに最初に掲載された。