Lido Finance sospende i depositi a causa di una falla di sicurezza nel bridge wstETH di ZKsync

Protocollo di staking liquido Ethereum Lido Finance inha informato i suoi utenti di una potenziale debolezza di sicurezza nel contratto endpoint del bridge wstETH di ZKsync, aggiungendo che ha sospeso i nuovi depositi fino a che il problema sia risolto. 

La divulgazione, pubblicata su X da Lido Finance, affermava: “Ad oggi, non ci sono indicazioni che la debolezza sia stata sfruttata e i detentori di wstETH su ZKsync non sono interessati. Nessun altro bridge è interessato.”

I prelievi da ZKsync e i trasferimenti di token sono stati descritti come non interessati. Tuttavia, la piattaforma si è mossa rapidamente, sospendendo i nuovi depositi di bridge da ciò che ha descritto come “un abbondanza di cautela.”

Qual è esattamente la vulnerabilità e chi è interessato?

Lido non ha condiviso pubblicamente la natura tecnica della falla, riferendosi solo a una “potenziale debolezza” segnalata nel contratto endpoint del bridge wstETH di ZKsync, lo strato di contratti intelligenti che facilita il movimento di ETH staked avvolto tra la mainnet di Ethereum e la rete Layer 2 di ZKsync.

Lido ha integrato ZKsync come suo quinto deployment Layer 2, sviluppato in collaborazione con Matter Labs e il team txSync per costruire contratti intelligenti di bridging canonici wstETH. Il bridge ZKsync è andato online il 3 gennaio 2024, dopo un voto di governance Lido DAO il mese precedente.

Lido ha un meccanismo multisig di emergenza che gli consente di disabilitare depositi e prelievi sul lato ZKsync quando necessario, e quella leva sembra essere stata tirata in questo caso.

Perché una correzione non può essere distribuita senza voto di governance?

Lido ha scritto: “Una correzione è stata preparata e sarà sottoposta a audit e distribuita tramite il prossimo voto omnibus di governance on-chain programmato di Lido (fine marzo / inizio aprile), dopo il quale i depositi riprenderanno.”

L'affidamento a un voto di governance per distribuire la correzione riflette sia la struttura decentralizzata delle operazioni di Lido sia le salvaguardie procedurali integrate nel suo processo di aggiornamento. Tuttavia, per gli utenti e gli investitori, significa anche che la timeline è soggetta alle meccaniche del coordinamento on-chain, una realtà che storicamente ha introdotto ritardi nei protocolli di finanza decentralizzata. Lido ha detto che sarebbero seguiti aggiornamenti e che i depositi riprenderebbero una volta che la correzione fosse attiva.

L'annuncio non ha giovato alle sorti dei rispettivi token, con i mercati allarmati dalla prospettiva di una risoluzione che non arriverà prima della fine di marzo e forse all'inizio di aprile.

Il token di governance nativo di Lido, LDO, è sceso di più del 3,5% nelle ultime 24 ore per scambiare a $0,3057. ZK, il token nativo della rete madre di ZKsync, è anche sceso di più del 3,1% a $0,01863 nello stesso periodo. Tuttavia, entrambi i token erano già in calo prima dell'annuncio di Lido.

Il protocollo controlla circa un terzo di tutto l'ether stakingato sulla rete Ethereum, rendendolo il più grande operatore di staking per un ampio margine. Qualsiasi incidente di sicurezza, o anche solo la percezione di uno, ha implicazioni sistemiche che si estendono ben oltre l'integrazione specifica di ZKsync.

Per ora, i detentori esistenti di wstETH su ZKsync possono trovare conforto nelle rassicurazioni di Lido, mentre i prelievi rimangono pienamente operativi.

Cryptopolitan ha riportato più oggi che un altro progetto, Neutron, un progetto BTCFi che offre rendimenti ai detentori di Bitcoin sui loro token staked, ha anche sospeso alcuni servizi fino ad almeno il 9 marzo dopo un aggiornamento di sicurezza in cui ha detto” un whitehat ha segnalato una vulnerabilità” nel suo codice.