LayerZero đối mặt vụ kiện 292 triệu USD khi dòng tài sản gần 15 tỷ USD chuyển sang CCIP của Chainlink

Evercrest Technologies đã đệ đơn kiện LayerZero Labs, đơn vị liên kết tại Canada và CEO Bryan Pellegrino tại British Columbia liên quan vụ khai thác rsETH trị giá 292 triệu USD xảy ra hồi tháng 4. Đơn kiện cáo buộc "trình bày sai do bất cẩn", "bất cẩn" và "phỉ báng", đồng thời yêu cầu bồi thường thiệt hại tăng nặng và trừng phạt. Sau sự cố, người dùng Kelp đã rút hơn 650 triệu USD. Ông Pellegrino cho rằng vụ kiện không có cơ sở. Cùng lúc, đến ngày 4/8, các dự án gắn với khoảng 14,5 tỷ USD tài sản đã công bố kế hoạch rời LayerZero để chuyển sang CCIP của Chainlink; Chainlink ước tính tổng giá trị gần 15 tỷ USD. Trong đó, BitGo chiếm khoảng 7,4 tỷ USD thông qua WBTC và chỉ định CCIP là nhà cung cấp cross-chain độc quyền cho WBTC. Mantle, rsETH của Kelp và Lombard cũng đóng góp thêm hàng tỷ USD vào con số di chuyển. Theo báo cáo sự cố của LayerZero, ngày 18/4, kẻ tấn công đã đánh lừa bộ phận verifier để phê duyệt một lệnh chuyển cross-chain giả mạo. LayerZero truy vết nguồn xâm nhập bắt đầu từ tháng 3, khi một nhà phát triển bị thao túng tâm lý để sao chép một kho GitHub độc hại. Nhóm tấn công sau đó xâm nhập môi trường RPC của LayerZero, đầu độc hai node nội bộ và khiến một nhà cung cấp RPC bên ngoài ngừng hoạt động. Verifier tiếp đó ký một thông điệp dựa trên dữ liệu sourcechain bị làm giả. Hệ quả là 116.500 rsETH rời khỏi cầu nối của Kelp. Cầu nối của Kelp khi đó yêu cầu phê duyệt từ một verifier duy nhất của LayerZero. Cơ chế kiểm tra chữ ký on-chain của LayerZero hoạt động đúng thiết kế vì chữ ký là hợp lệ về mặt mật mã, nhưng lại chứng thực thông tin sai. Báo cáo của LayerZero quy trách nhiệm yêu cầu verifier cho phía ứng dụng, còn lớp RPC bị xâm phạm thuộc trách nhiệm vận hành của LayerZero. Evercrest cho rằng LayerZero đã rà soát và phê duyệt bằng văn bản mô hình "một verifier". Evercrest nói LayerZero từng thông báo với Kelp vào tháng 2/2024 rằng cấu hình mặc định không có vấn đề. Đơn kiện cũng cáo buộc LayerZero đã cảnh báo USDT0 về rủi ro của cấu hình verifier mặc định nhưng không đưa cảnh báo tương đương cho Kelp. Các cáo buộc hiện chưa được kiểm chứng tại tòa. LayerZero phản hồi rằng trước đó Kelp từng dùng cấu hình "hai trên hai", rồi chuyển sang "một trên một". Hiện verifier của LayerZero từ chối ký trên bất kỳ kênh nào mà nó là bên ký bắt buộc duy nhất. Công ty cũng yêu cầu nhiều nguồn RPC độc lập giữa các nhà cung cấp và khu vực địa lý. Đến 4/8, LayerZero cho biết đã chuyển các luồng mặc định trên cả hai phiên bản endpoint lên tối thiểu ba verifier, dù các ứng dụng vẫn có thể xây dựng cấu hình tùy chỉnh ở cấp độ giao thức. LayerZero nói hồi tháng 5 rằng việc cho phép verifier hoạt động đơn lẻ với các giao dịch giá trị lớn là một sai lầm, và sự cố chỉ ảnh hưởng khoảng 0,14% ứng dụng trên mạng lưới. Về phía các tổ chức công, Stable Token Commission của bang Wyoming cho biết đã chuyển token do bang phát hành FRNT khỏi LayerZero trong tháng 8 và ký thỏa thuận nhiều năm, chỉ định CCIP làm nhà cung cấp cross-chain độc quyền. CISO của ủy ban, ông Keith Lawhorn, ngày 14/9 cho biết quá trình rà soát bắt đầu sau vụ tấn công Kelp và kết luận có vấn đề liên quan kiểm soát truy cập, quản lý khóa riêng và công bố thông tin sự cố; LayerZero phủ nhận một phần các nhận định này. LayerZero hiện vẫn là mạng lưới kết nối 96 chain. Theo DefiLlama, khối lượng tài sản được bridge qua LayerZero trong 30 ngày gần nhất đạt 9,5 tỷ USD. Tòa án tại British Columbia sẽ xem xét bên nào có nghĩa vụ thực hiện các biện pháp bảo vệ liên quan trong quá trình tích hợp.