• LayerZero Labs는 최근 3주간 커뮤니케이션이 부족했던 점에 대해 사과했음.
• LayerZero 프로토콜 자체는 영향을 받지 않았지만, LayerZero Labs DVN이 사용하던 내부 RPC가 Lazarus Group의 공격을 받았고, 동시에 외부 RPC 제공자는 DDoS 공격을 받았음.
• 문제는 LayerZero Labs DVN이 일부 고가치 트랜잭션에서 1/1 DVN으로 사용되도록 허용된 점이었음.
- 이는 단일 실패 지점을 만들 수 있는 구조
- LayerZero Labs는 이를 제대로 모니터링하지 못한 점을 인정
• 영향을 받은 것은 단일 애플리케이션뿐이며:
- 전체 애플리케이션의 약 0.14%
- LayerZero 상 자산 가치의 약 0.36%
• 공식 사후 분석 보고서는 외부 보안 파트너의 조사가 끝난 뒤 공개될 예정.
• 3년 반 전, 멀티시그 서명자 중 한 명이 개인 지갑 대신 멀티시그 하드웨어 지갑으로 개인 거래를 한 사건도 공개했음.
- 해당 서명자는 멀티시그에서 제거됨
- 지갑은 교체됨
- 이후 서명 장치 보안, 이상 탐지, 자체 멀티시그 OneSig 등이 도입됨
• LayerZero Labs의 권장 보안 설정:
- 기본값에 의존하지 말고 설정을 고정할 것
- 체인별 블록 컨펌 수를 충분히 높일 것
- DVN은 최소 2개 이상, 가능하면 3~5개로 구성할 것
- 자체 DVN을 운영하고 required로 설정하는 것도 고려할 것
• LayerZero는 향후 보안 강화를 위해:
- 1/1 DVN 지원 중단
- 기본 경로를 가능한 5/5, 최소 3/3 구조로 전환
- Rust 기반 두 번째 DVN 클라이언트 개발
- RPC quorum 구조 강화
- OneSig와 Console을 통해 발행자들이 보안 설정을 직접 관리할 수 있도록 개선 중
🔗 원문