Ripple 的榮譽首席技術官 David Schwartz 本週發表了一針見血的評論，此前 Kelp DAO rsETH 橋被利用，損失了約 2.92 億美元。
他早就預料到會發生這種事。不是這次襲擊本身，而是導致襲擊發生的種種條件。
Schwartz 在 X 上寫道：“我評估了許多 DeFi 橋接系統，以用於 RLUSD。我幾乎完全專注於安全性和風險方面。我注意到的一點是，大多數方案的設計都非常完善，並且擁有非常強大的機制來抵禦 KelpDAO 事件似乎正是由這類攻擊引起的。”
掩蓋安全功能的銷售說辭
施瓦茨所描述的正是他在評估過程中反覆遇到的模式。橋接服務提供商會著重宣傳他們最先進的安全功能，然後幾乎立即暗示這些功能是可選的，而且大多數客戶選擇不使用它們。
他寫道：“他們實際上通常建議我們不要費心使用最重要的安全機制，因為這些機制會帶來便利性和操作複雜性方面的成本。他們經常向我們推銷添加更多鏈的簡便性，其隱含的假設是，我們不會費心使用他們最好的安全功能。”
他說：“他們的銷售策略是，他們的產品擁有最好的安全功能，而且易於使用和擴展，前提是你不使用安全功能。”
Kelp DAO 究竟發生了什麼
4月19日，Kelp DAO發現rsETH存在可疑的跨鏈活動，並暫停了主網和多個Layer 2網絡上的合約。約有116,500枚rsETH通過與LayerZero相關的合約調用被盜，按當前價格計算價值約2.92億美元。
D2 Finance 的鏈上分析追溯到源鏈上的私鑰洩露，導致與 OApp 節點之間出現信任問題，攻擊者利用該問題操縱了橋接。
施瓦茨提出了他對協議層面可能出錯原因的假設。他寫道：“我總覺得問題的一部分可能出在像KelpDAO這樣的組織為了方便而選擇不使用LayerZero的關鍵安全特性。”
LayerZero本身提供強大的安全機制，包括去中心化驗證網絡。調查人員目前正在調查的問題是，Kelp DAO是否在其實現中採用了最低限度的安全設置，特別是僅以LayerZero Labs作為唯一驗證者，從而導致單點故障，而不是採用更復雜但安全性更高的方案。
