Lido investiga el compromiso de claves de Oracle y la DAO propone una rotación de claves de emergencia.

Fundador de las finanzas descentralizadas (DeFi) Plataforma de seguimiento de valor total bloqueado (TVL) DefiLlama , 0xngmi notó en la plataforma de redes sociales X que se había producido una violación de seguridad que involucraba una de las direcciones asociadas con Lido Monedero multi-firma de Oracle. 

Los atacantes retiraron aproximadamente 1.4 ETH de la dirección comprometida, lo que reveló el acceso no autorizado. A raíz del incidente, se propuso que mantener pequeñas cantidades de tokens fácilmente rastreables en billeteras multifirma podría servir como un mecanismo básico de alerta temprana, lo que podría indicar cualquier actividad no autorizada.

El 10 de mayo, Lido informó que una de sus direcciones de oráculo operada por Chorus One se vio comprometida y que su saldo de ETH fue retirado. El incidente salió a la luz después de que un colaborador de Lido investigara una alerta de saldo bajo, lo que condujo a la identificación de actividad inusual relacionada con una clave vinculada al Oráculo de Lido operado por Chorus One. Esta clave, que había estado en uso desde su creación en 2021, se vació durante la noche. Aunque no se ha determinado la causa exacta de la brecha, las evaluaciones iniciales sugieren que podría deberse a una filtración previa de la clave privada, en lugar de un fallo de infraestructura activo o en curso.

Tras el descubrimiento, los colaboradores de Lido se pusieron en contacto con Chorus One para solicitar confirmación y comenzaron una investigación formal. 

En respuesta al incidente, Lido DAO propuso una medida de emergencia para rotar la clave de oráculo comprometida utilizada en varios contratos críticos, incluyendo los componentes HashConsensus del Oráculo de Contabilidad, el Oráculo del Bus de Salida de Validadores y el Oráculo de Tarifas de CS. La votación comunitaria sobre esta propuesta está actualmente en curso y continuará hasta el 16 de mayo.

Según Lido, el protocolo de staking se mantiene seguro y en pleno funcionamiento. No se ha observado ningún impacto en los fondos de los usuarios ni en el sistema en general. La arquitectura del oráculo, que requiere un quórum mínimo de cinco de nueve participantes, permanece intacta. Se han examinado todos los demás nodos del oráculo sin indicios de vulnerabilidad, y no hay evidencia que sugiera un problema de seguridad más amplio que afecte a Chorus One.

El Protocolo Lido mejora el staking de líquidos con la infraestructura de Oracle para una gestión de activos segura y flexible.

La Lido El protocolo permite a los participantes apostar activos digitales sin necesidad de bloquear sus activos ni operar sus propios nodos de validación. A cambio, los usuarios reciben tokens de staking líquidos, que representan sus activos apostados y acumulan recompensas con el tiempo. Estos tokens pueden utilizarse en ecosistemas financieros descentralizados para diversos fines, como préstamos, comercio o colateralización, lo que ofrece flexibilidad mientras los activos originales permanecen apostados.

Un componente clave de la arquitectura de Lido es su sistema de oráculos, que desempeña un papel fundamental en el mantenimiento de la precisión de los datos entre las capas de consenso y ejecución de Ethereum. Este sistema incluye tanto contratos inteligentes en cadena como operaciones fuera de cadena gestionadas por entidades seleccionadas. Entre los contratos inteligentes involucrados, AccountingOracle recopila información de fuentes fuera de cadena sobre los saldos de los validadores, las métricas operativas y los fondos de la bóveda, lo que facilita funciones como la actualización de saldos, los retiros y la distribución de recompensas. El componente ValidatorsExitBus rastrea los datos relacionados con los validadores que optan por salir voluntariamente, lo que ayuda a coordinar los procesos de transición y retiro.

A cada operador de oráculo del ecosistema Lido se le asigna una dirección Ethereum única, que le permite enviar datos a estos contratos. Estos datos son esenciales para mantener operaciones actualizadas y seguras en toda la infraestructura de staking.