DeFi enfrenta a crise de dilema do prisioneiro mais perigosa da história

Autor: Gu Yu, ChainCatcher

Após mais de 40 horas do roubo, a reação em cadeia desencadeada pelo Kelp DAO ainda continua a fermentar, não apenas envolvendo projetos renomados como Aave, LayerZero, Arbitrum, mas chegando até a um ponto em que algumas narrativas populares enfrentam um julgamento de morte.

Um conhecido KOL, Feng Wu Xiang, afirmou na plataforma X que só o ETH está seguro agora, e que a ARB também autorizou o congelamento e transferência dos ativos dos clientes. Nenhum L2 é realmente um L2, deveria ser. O L2 nasceu no Arbitrum, e também morreu no Arbitrum.

Outro conhecido KOL, Lan Hu, disse que a maior perda nesta falha do Kelp não foi para a Aave, nem para o Kelp, mas para a LayerZero, que foi demasiado míope e não conseguiu enxergar a essência do evento. A essência do incidente não é a falsificação do L2 (que já é ruim por si só), mas a falsificação das pontes cross-chain.

Cada vez mais opiniões acaloradas surgem no debate público, com as partes envolvidas defendendo suas versões e se acusando mutuamente, fazendo do roubo do Kelp DAO um exemplo clássico de disputa sobre responsabilidades por falhas de segurança, além de um confronto entre pragmatismo e fundamentalismo técnico.

一、L0被证伪？跨链桥成最大输家

O ponto-chave do evento foi o relatório detalhado de ataque divulgado ontem pela LayerZero, que inicialmente suspeita que o atacante seja o grupo Lazarus, com base na Coreia do Norte. O ataque ocorreu por meio de envenenamento da rede de validação descentralizada (DVN) dependente da infraestrutura RPC de terceiros, controlando alguns nós RPC e combinando com ataques DDoS, induzindo o sistema a trocar para nós maliciosos, falsificando assim transações cross-chain.

“Utilizar nós comprometidos para envenenar a infraestrutura RPC, combinando com ataques DDoS aos RPCs não afetados para forçar a mudança de falha, é uma tática bastante complexa. Isso, na essência, é uma guerra de infraestrutura.” avaliou Samuel Tse, diretor de investimentos e parcerias da Animoca Brands.

No final do relatório, a LayerZero afirmou que o protocolo operou exatamente como esperado durante todo o incidente. Nenhuma vulnerabilidade foi encontrada na sua arquitetura. A característica central do design da LayerZero é a segurança modular, e neste caso, ela conseguiu isolar o ataque a um único aplicativo — o sistema como um todo não sofreu contaminação, e outros OFT ou OApp também não foram afetados.

Essa completa negação de responsabilidade por parte da LayerZero foi o catalisador para uma forte reação pública, com muitos profissionais renomados do setor insatisfeitos com sua atuação no episódio.

“L0 se limpou completamente, jogou toda a culpa na configuração incorreta do KelpDAO, e a si mesmo não encontrou nenhum problema. Inacreditável. Por que permitir uma configuração 1/1? Como a lista de RPCs internos foi acessada pelo atacante? Por que a lógica de failover confia na RPC contaminada após o DDoS, sem parar a validação ou fazer algo ao menos mínimo?” questionou CM, pesquisador de setor conhecido.

“Essa postura de evasão deliberada me incomoda bastante. No comunicado, está claramente escrito que ‘o protocolo operou totalmente conforme o esperado’. O ataque foi descrito como RPCs sendo invadidos e envenenados. Mas o envenenamento de RPCs não foi assim; na verdade, a infraestrutura deles foi invadida e comprometida. Como o comunicado não explica como a invasão ocorreu, não vou reativar a ponte imediatamente,” afirmou banteg, desenvolvedor de DeFi.

O próprio Kelp DAO também se pronunciou, dizendo que a configuração do validador único (1/1) que levou ao ataque não foi uma escolha negligente, mas sim a configuração padrão nas diretrizes oficiais da LayerZero, e que o validador explorado pelo atacante (DVN) é uma infraestrutura própria da LayerZero.

Segundo análise do Dune, entre os 2665 contratos OApp baseados na LayerZero, 47% usam configuração 1/1 DVN, ou seja, mecanismo de validação única, o que aumenta exponencialmente o risco do setor.

Mais assustador do que o problema em si é o fato de as partes envolvidas não admitirem o erro ou evitarem a responsabilidade. Como principal protagonista na narrativa de comunicação entre blockchains e na narrativa Layer0, centenas de projetos de criptomoedas usam sua infraestrutura cross-chain para conectar tokens e ativos de diferentes cadeias. Se continuarem com essa postura arrogante, a confiança do setor na LayerZero pode ser ainda mais prejudicada.

A opinião geral é que, embora a LayerZero não tenha sido hackeada diretamente, sua reputação foi gravemente afetada — ela precisa pagar o preço por “permitir configurações fracas”, sob pena de a narrativa de cross-chain desmoronar.

Ou seja, a LayerZero não só deve propor melhorias técnicas claras, como também assumir maior responsabilidade na compensação pelos ativos afetados.

二、Layer2 已死？Arbitrum 的超常规冻结

A discussão sobre Layer2 veio com a ação de congelamento do Arbitrum. Hoje ao meio-dia, o Conselho de Segurança do Arbitrum publicou um comunicado dizendo que tomou medidas emergenciais para resgatar 30.766 ETH armazenados na carteira do hacker no Arbitrum One, atualmente avaliado em 71 milhões de dólares.

O Arbitrum também afirmou que, após extensas investigações técnicas e deliberações, o conselho de segurança decidiu e executou uma solução técnica que, sem afetar o estado de outras cadeias ou dos usuários do Arbitrum, transferiu os fundos para um local seguro. A carteira original não pode mais acessar esses fundos, e somente a administração do Arbitrum pode tomar ações adicionais para transferi-los, em coordenação com as partes envolvidas.

De acordo com especialistas do setor, o conselho de segurança usou um tipo de transação de cobertura de estado com privilégios especiais (que faz parte do ArbOS, embora quase nunca seja utilizado), permitindo que a chave privada do atacante assinasse transações, enquanto o ETH na carteira foi transferido pela própria cadeia.

Essa transação especial contorna completamente a chave privada do atacante, sendo possível apenas pela própria cadeia (via sequencer / atualização do ArbOS, controlada pelo conselho de segurança do Arbitrum).

Sabe-se que o conselho de segurança do Arbitrum é composto por 12 membros eleitos pelo DAO do Arbitrum, e qualquer decisão requer a concordância de pelo menos 9 desses membros.

Um grande impacto. Antes, a percepção era de que o Arbitrum, como um representante de Layer2, não tinha capacidade ou permissão para gerenciar os ETH dos usuários, o que contraria o espírito de descentralização do blockchain.

Em eventos passados, tokens como USDT e USDC roubados por hackers podiam ser congelados rapidamente por Tether e Circle, minimizando perdas aos usuários. Mas ETH, como ativo nativo da cadeia, nunca havia sido congelado ou transferido pela própria cadeia, o que superou as expectativas da maioria.

Muitos apoiam a abordagem do Arbitrum, como “empresas, bancos e instituições financeiras adotam arquiteturas de segunda camada. Operar como uma entidade centralizada em momentos críticos não é uma falha, mas uma vantagem.” Contudo, para os entusiastas mais técnicos, não é bem assim.

“Sem necessidade de chave privada, sem autorização, apenas transferências diretas.” Para muitos, essa ação redefine o grau de descentralização do Layer2, gerando uma sensação de insegurança.

Lan Hu afirmou que o episódio tocou diretamente na linha vermelha da ideologia central do DeFi: “Not Your Keys, Not Your Coins”. O evento reacende o clássico dilema da segurança prática versus segurança totalmente descentralizada.

Conclusão

Quando a LayerZero afirma que “o protocolo operou exatamente como esperado”, ela preservou a correção técnica, mas perdeu a confiança e a reputação; quando o Arbitrum usa transações privilegiadas para transferir ETH avaliado em 71 milhões de dólares, salvando fundos dos usuários, mas prejudicando a narrativa de descentralização do Layer2.

O escândalo do roubo do Kelp colocou duas das narrativas mais quentes sob julgamento: as pontes cross-chain são infraestrutura ou amplificadores de risco? O Layer2 é uma extensão confiável do Ethereum ou um banco de segunda camada disfarçado de descentralizado?

A LayerZero, por ter sido vulnerável por um mecanismo de nó de validação único, foi atingida, enquanto o Arbitrum, usando um mecanismo de votação centralizado, tentou remediar a perda para a LayerZero e o Kelp DAO. Forma um ciclo irônico: um protocolo que se autodenomina descentralizado, colapsa por sua “fraqueza de ponto único”, e acaba dependendo de outro protocolo com “características centralizadas” para encerrar a crise.

Isso força toda a indústria a confrontar uma questão nunca respondida: quando o ideal de descentralização encontra o custo de segurança da realidade, qual lado estamos dispostos a sacrificar?

A discussão sobre narrativas grandiosas é um foco de opinião pública, mas a compensação aos usuários é uma outra questão de realidade. Mesmo que a Arbitrum recupere mais de 70 milhões de dólares, a Aave ainda tem quase 200 milhões de dólares em inadimplência, e como garantir os interesses dos usuários?

Na maioria dos ataques, perdas de dezenas de milhões de dólares representam um desastre de proporções catastróficas para o protocolo, e as ações de recuperação geralmente não avançam. Mas neste episódio, com projetos como Aave e LayerZero envolvidos, a gestão das perdas é especialmente observada.

Hoje, a Aave propôs duas soluções de recuperação de inadimplência: uma, distribuir as perdas entre todos os detentores de rsETH (compartilhamento na cadeia toda), com uma redução de valor de cerca de 15% no rsETH principal; ou, uma segunda, fazer com que apenas os detentores de rsETH na L2 assumam as perdas, mantendo o valor do rsETH na cadeia principal.

Porém, nem a Kelp DAO nem a LayerZero discutiram até agora qual papel desempenharão na compensação. A postura da LayerZero no relatório, de tentar isentar-se de responsabilidade, indica que ela acredita que sem responsabilidade, não há obrigação de compensar.

Porém, um protocolo avaliado em dezenas de bilhões de dólares, dependente de infraestrutura de DVN padrão, que enfrenta perdas gigantescas por configuração padrão, escolher “isenção técnica” é uma grande ironia à própria definição de “infraestrutura básica”.

É um típico dilema do prisioneiro: as partes em crise tentam minimizar suas perdas por meio de “partilha de interesses”, ao invés de assumir responsabilidades conjuntas para reparar a confiança do setor.

Diante do impacto negativo do episódio, para o setor DeFi, essa será uma das maiores crises de dilema do prisioneiro da história.