LayerZero承认Lazarus攻击中存在单一验证器漏洞，承诺进行多验证器安全改革

BitcoinWorld

LayerZero承认Lazarus攻击中的单一验证者漏洞，承诺全面升级多验证者安全体系

跨链消息协议LayerZero (ZRO)公开承认了一个严重的安全失误，该失误使朝鲜黑客组织Lazarus得以在一次过去的事件中利用其基础设施。该项目在其官方X账号上坦诚发文，为沟通不力道歉，并承认以单一验证者模式运行其去中心化验证网络（DVN）的子组件是一个严重错误。

攻击期间发生了什么

该事件涉及对LayerZero DVN内一个子RPC的利用。根据项目方声明，Lazarus集团通过这个被攻破的子RPC成功篡改数据。与此同时，一家外部RPC提供商遭受了分布式拒绝服务（DDoS）攻击，进一步加剧了运营中断。LayerZero强调，核心协议本身未受影响，LayerZero网络也未直接造成用户资金损失。然而，此事件与更大范围的Kelp DAO rsETH漏洞利用事件相关，攻击者使用该跨链桥转移了非法资金。

单一验证者模式：根本原因

LayerZero的事后分析将单一验证者设置确定为根本弱点。在去中心化验证网络中，单一验证者构成单点故障。若该验证者遭到攻破或下线，整个验证过程可能被破坏或中断。项目方承认，这一配置是严重的设计缺陷，且未能及时向社区传达事件的严重性。

前进之路：多验证者与基础设施全面升级

对此，LayerZero宣布了全面的安全升级计划。该协议将立即停止单一验证者设置，并将其默认配置过渡至多验证者系统，要求至少达到3:3的阈值——即三个验证者中的三个必须全部同意，交易才能得到验证。此变更消除了单点故障，使网络与去中心化安全的行业最佳实践保持一致。

全面安全基础设施升级

除验证者变更外，LayerZero还计划对其安全基础设施进行全面升级。这包括开发新的客户端软件、为关键管理操作引入多重签名（multisig）系统，以及部署集成控制台管理平台。这些措施旨在提供更好的监控、更快的事件响应能力，以及更强的整体抵御能力，以应对Lazarus等复杂威胁行为者。

为何此事至关重要

此次事件对更广泛的DeFi和跨链生态系统而言是一个警示。随着跨链桥和消息协议成为区块链间价值转移的关键基础设施，其安全配置必须达到最高标准。单一验证者设置虽然操作上可能更简便，但引入了国家支持的黑客组织正在积极寻找的漏洞。LayerZero的承认和纠正行动是重建信任的一步，但这一事件凸显了协议开发者与日益复杂的攻击者之间持续进行的军备竞赛。

结论

LayerZero对其过去安全失误的承认及其对多验证者未来的承诺，是对严重事件的必要回应，尽管来得有些迟。过渡至3:3验证者系统，结合更广泛的基础设施升级，代表着一项有实质意义的改进。对于依赖跨链基础设施的用户和开发者而言，此次事件强化了向所依赖的协议要求透明度和强健安全配置的重要性。

常见问题

问题1：LayerZero协议本身是否遭到黑客攻击？
没有。LayerZero表示其核心协议未受影响。此次攻击针对的是其去中心化验证网络（DVN）的一个子RPC以及一家外部RPC提供商。

问题2：用户在此次事件中是否损失了资金？
LayerZero未报告其自身网络有任何直接用户资金损失。该事件与Kelp DAO rsETH漏洞利用事件相关，跨链桥在该攻击链中被用作工具。

问题3：什么是3:3多验证者系统？
3:3系统要求一组中的所有三个验证者在交易得到验证之前均需确认该交易。这消除了单一验证者设置中存在的单点故障，并提供更强的安全保障。

本文LayerZero承认Lazarus攻击中的单一验证者漏洞，承诺全面升级多验证者安全体系最早发布于BitcoinWorld。