Lido Finance pausa depósitos devido a falha de segurança na ponte wstETH da ZKsync

Protocolo de staking líquido do Ethereum Lido Finance ininformou seus usuários sobre uma possível vulnerabilidade de segurança em seu contrato de endpoint da ponte wstETH da ZKsync, "memória" ao Copilot, permitindo que ele retenha detalhes importantes sobre os usuários de que suspendeu novos depósitos até que o problema seja resolvido. 

A divulgação, publicada no X pela Lido Finance, afirmou: “Até o momento, não há indícios de que a vulnerabilidade tenha sido explorada, e os detentores de wstETH na ZKsync não foram afetados. Nenhuma outra ponte está afetada.”

Retiradas da ZKsync e transferências de tokens foram descritas como não afetadas. No entanto, a plataforma agiu rapidamente, pausando novos depósitos de ponte de o que ela descreveu como “um excesso de cautela.”

Qual é exatamente a vulnerabilidade e quem é afetado?

A Lido não compartilhou publicamente a natureza técnica da falha, referindo-se apenas a uma “possível vulnerabilidade” relatada no contrato de endpoint da ponte wstETH da ZKsync, a camada de contrato inteligente que facilita o movimento de ETH staked derivado entre a mainnet do Ethereum e a rede Layer 2 ZKsync.

A Lido integrou a ZKsync como seu quinto deployment de Layer 2, desenvolvido em colaboração com a Matter Labs e a equipe txSync para construir contratos inteligentes canônicos de ponte wstETH. A ponte ZKsync entrou em operação em 3 de janeiro de 2024, após uma votação de governança da Lido DAO no mês anterior.

A Lido possui um mecanismo de multisig de emergência que permite desativar depósitos e retiradas no lado da ZKsync quando necessário, e essa alavanca parece ter sido acionada neste caso.

Por que uma correção não pode ser implantada sem votação de governança?

A Lido escreveu: “Uma correção foi preparada e será auditada e implantada por meio da próxima votação omnibus de governança on-chain agendada da Lido (final de março / início de abril), após a qual os depósitos serão retomados.”

A dependência de uma votação de governança para implantar a correção reflete tanto a estrutura descentralizada das operações da Lido quanto as salvaguardas procedimentais incorporadas em seu processo de atualização. No entanto, para usuários e investidores, isso também significa que o cronograma está sujeito às mecânicas da coordenação on-chain, uma realidade que historicamente introduziu atrasos em protocolos de finanças descentralizadas. A Lido disse que os atualizações seguiriam e que os depósitos seriam retomados assim que a correção estivesse ativa.

O anúncio não ajudou as fortunas dos respectivos tokens, com os mercados inquietos pela perspectiva de uma correção que não chegará até pelo menos o final de março e possivelmente no início de abril.

O token de governança nativo da Lido, LDO, caiu mais de 3,5% nas últimas 24 horas, negociando a $0,3057. ZK, o token nativo da rede pai da ZKsync, também caiu mais de 3,1% para $0,01863 no mesmo período. No entanto, ambos os tokens já estavam em queda antes do anúncio da Lido.

O protocolo controla cerca de um terço de todo o ether staked na rede Ethereum, tornando-o o maior operador de staking único por uma margem substancial. Qualquer incidente de segurança, ou mesmo a percepção de um, tem implicações sistêmicas que se estendem bem além da integração específica da ZKsync.

Por enquanto, os detentores existentes de wstETH na ZKsync podem encontrar algum conforto nas garantias da Lido enquanto as retiradas permanecem totalmente operacionais.

A Cryptopolitan relatou mais cedo hoje que outro projeto, Neutron, um projeto BTCFi que oferece rendimentos aos detentores de Bitcoin em seus tokens staked, também pausou certos serviços até pelo menos 9 de março após uma atualização de segurança na qual disse” um whitehat sinalizou uma vulnerabilidade” em seu código.