ラザロス・グループに起因するとされるKelp DAOハック；ソーシャルエンジニアリングでeth.limoドメインが乗っ取られる

ゲート・ニュース、4月20日 — LayerZeroは4月18日に発生したKelp DAOのエクスプロイトに関する予備調査結果を公表し、高度に洗練された国家支援型の脅威アクターによる攻撃だとし、その可能性が高いのは北朝鮮のラザロス・グループの下部組織で、TraderTraitorとして知られる。 この事件により、約$292 百万相当の116,500 rsETHトークンが失われ、今年最大のDeFiエクスプロイトとなった。

LayerZeroの調査によると、攻撃者はLayerZero Labsの分散型検証者ネットワーク (DVN) が使用するRPCノードのリストにアクセスした。これは、クロスチェーン・メッセージを検証する独立した組織群である。2つのノードが汚染され、詐欺的なメッセージを送信する一方で、攻撃者は同時に、侵害されていないノードに対して分散型サービス拒否（DDoS）攻撃を仕掛けた。詐称メッセージが受け入れられたのは、Kelp DAOが、詐欺的な取引を検知または拒否するためのセカンダリ検証者なしで、単一の1-of-1 DVNセットアップをブリッジに設定していたためである。LayerZeroは以前、Kelp DAOにDVN設定の分散を行うよう助言していた。これを受けてLayerZeroは、1/1 DVN設定を使用するアプリケーションに対しては今後メッセージに署名しない方針を示し、盗まれた資金の追跡のため法執行機関と協力すると発表した。

別件として、Ethereum Name Serviceのゲートウェイeth.limoは、4月18日金曜日に同社のドメインが乗っ取られた原因は、サービスプロバイダーであるeasyDNSを標的にしたソーシャルエンジニアリング攻撃だったと明らかにした。攻撃者はeth.limoチームのメンバーになりすまし、アカウント復旧プロセスを開始してeth.limoアカウントへのアクセスを獲得し、DNS設定を変更して、Cloudflareが管理するインフラへトラフィックをリダイレクトした。このプラットフォームは、.ethドメインシステムを通じて約200万の分散型Webサイトにサービスを提供している。しかし、Domain Name System Security Extension (DNSSEC) が、DNSレコードに暗号による検証を追加することで被害を制限した。攻撃者には必要な署名キーがなかったため、多くのDNSリゾルバは改ざんされたレコードを拒否し、不正なリダイレクトを防いだ。EasyDNSのCEOであるMark Jeftovicは、同社の28年の歴史の中でeasyDNSのクライアントに対して初めて成功したソーシャルエンジニアリング攻撃だと、この侵害を認め、同社は同様の事案を防ぐためのセキュリティ改善を実施していると述べた。