Il recente attacco a KelpDAO
In un recente tweet, il CTO Emerito di Ripple, David Schwartz, ha messo in discussione la spiegazione fornita riguardo al recente sfruttamento di KelpDAO. Il 18 aprile, KelpDAO, un protocollo di liquid restaking, ha subito un grave attacco, perdendo oltre 290 milioni di dollari.
Le dichiarazioni di LayerZero
In un aggiornamento successivo, LayerZero ha dichiarato che l’incidente di KelpDAO era isolato alla sua configurazione rsETH, risultante direttamente dal suo setup a singolo DVN. LayerZero ha osservato che l’oggetto dell’attacco, altamente sofisticato, era il avvelenamento dell’infrastruttura RPC a valle utilizzata dalla DVN di LayerZero Labs.
Le domande di David Schwartz
Una settimana dopo l’incidente, la comunità crypto continua a cercare risposte su quanto accaduto in quello che viene definito il più grande hack DeFi fino ad oggi nel 2026. In questo contesto, David Schwartz ha fatto riferimento a una risposta su X del CEO di LayerZero, Bryan Pellegrino, nel dicembre 2024, dove affermava che nessun volume del protocollo si basava esclusivamente sulla sua Rete di Verificatori Decentralizzati (DVN).
“Quale percentuale del volume di LZ si basa esclusivamente su LZ DVN? La risposta a questo è 0%. Non esiste un’applicazione che utilizzi esclusivamente LZ DVN,” disse Pellegrino all’epoca.
In risposta, Schwartz si chiede se qualcosa sia cambiato tra la fine del 2024 e ora. Questo solleva la domanda: se nessuna applicazione in precedenza si basava esclusivamente su un singolo DVN, come potrebbe ora quella stessa configurazione essere considerata la causa principale dello sfruttamento di KelpDAO? È cambiato qualcosa tra dicembre 2024 e oggi? Perché, a meno che non mi sbagli, questo significa che l’attacco a KelpDAO non avrebbe potuto avvenire come descritto da LayerZero.
Riflessioni sulla sicurezza del sistema
Se KelpDAO ha effettivamente operato con una configurazione a singolo DVN, sorgono interrogativi su se l’architettura del sistema sia cambiata dopo i commenti del CEO di LayerZero nel 2024 o se le affermazioni precedenti non fossero accurate.
Su questa linea, il responsabile della ricerca di Ripple, Aanchal Malhotra, in un recente tweet, ha condiviso alcune riflessioni sull’hack di rsETH, notando che:
“L’industria si sta muovendo verso migliori primitive—ZK proving, standard di audit più rigorosi. Ma le primitive da sole non sono sufficienti. Fino a quando le prove di sicurezza e gli ambienti di distribuzione non saranno valutati insieme, il divario rimane.”
