Hack de Kelp DAO atribuido al Grupo Lazarus; secuestro de dominio de eth.limo vía ingeniería social

Mensaje de Gate News, 20 de abril — LayerZero publicó hallazgos preliminares sobre el exploit de Kelp DAO ocurrido el 18 de abril, atribuyendo el ataque a un actor de amenaza altamente sofisticado respaldado por un Estado, probablemente el subgrupo del Grupo Lazarus de Corea del Norte conocido como TraderTraitor. El incidente resultó en la pérdida de 116,500 tokens de rsETH con un valor aproximado de $292 millones, marcando el mayor exploit de DeFi de este año.

Según la investigación de LayerZero, los atacantes obtuvieron acceso a la lista de nodos RPC utilizada por la red de verificador descentralizado (DVN) de LayerZero Labs, un sistema de entidades independientes responsables de validar mensajes entre cadenas. Dos nodos fueron envenenados para transmitir un mensaje fraudulento, mientras que los atacantes lanzaron simultáneamente un ataque de denegación de servicio distribuido contra nodos no comprometidos. El mensaje falsificado fue aceptado porque Kelp DAO configuró su puente usando una única configuración 1-of-1 de DVN sin un verificador secundario para detectar o rechazar la transacción fraudulenta. LayerZero había aconsejado previamente a Kelp DAO diversificar su configuración de DVN. Como respuesta, LayerZero anunció que ya no firmará mensajes para aplicaciones que usen configuraciones 1/1 de DVN y que está cooperando con las autoridades encargadas de hacer cumplir la ley para rastrear los fondos robados.

Por separado, el gateway del Servicio de Nombres de Ethereum eth.limo divulgó que su secuestro de dominio del viernes 18 de abril fue causado por un ataque de ingeniería social que apuntó a su proveedor de servicios, easyDNS. Un atacante se hizo pasar por un miembro del equipo de eth.limo e inició un proceso de recuperación de cuenta, obteniendo acceso a la cuenta de eth.limo y modificando la configuración DNS para redirigir el tráfico a infraestructura controlada por Cloudflare. La plataforma sirve aproximadamente a dos millones de sitios web descentralizados usando el sistema de dominios .eth. Sin embargo, la Extensión de Seguridad del Sistema de Nombres de Dominio (DNSSEC) limitó el daño al añadir verificación criptográfica a los registros DNS; debido a que el atacante no contaba con las claves de firma requeridas, muchos resolvedores DNS rechazaron los registros manipulados, impidiendo redirecciones maliciosas. El CEO de EasyDNS, Mark Jeftovic, reconoció la brecha como el primer ataque exitoso de ingeniería social contra un cliente de easyDNS en los 28 años de historia de la empresa y afirmó que la compañía está implementando mejoras de seguridad para prevenir incidentes similares.