LayerZero의 KelpDAO 해킹 사건 사후 리포트

보안 기업인 CrowdStrike와 Mandiant와 협력하여 사건을 조사

공격 흐름
1. 공격자는 먼저 LayerZero Labs 개발자를 소셜 엔지니어링으로 속여 악성 GitHub repo를 clone하게 만듦. 이 과정에서 개발자의 macOS에 FLATROOF / ROOFDECK malware가 설치되었고, 공격자는 세션 키를 탈취

2. 탈취한 세션 키를 사용해 LayerZero의 GCP / GitHub 환경에 접근하고, LayerZero가 운영하는 RPC 인프라 구조를 정찰

3. 공격자는 서로 다른 GKE cluster / region에 있는 내부 RPC 노드 두 개를 침해하고, 실행 중인 op-geth 프로세스 메모리를 패치

4. 패치된 RPC 노드는 LayerZero 모니터링 도구에는 정상 응답을 반환하고, DVN signing service에는 조작된 RPC 응답을 반환하도록 동작

5. 그 이후에는 알려진대로 외부 RPC에는 DoS 공격, DVN 서비스가 내부 RPC에만 의존하도록 하였고 잘못된 응답을 실제 소스 체인의 상태로 오인하고 잘못된 메시지 생성