LayerZero đối mặt với vụ kiện 292 triệu USD khi gần 15 tỷ USD chuyển khỏi nền tảng

Evercrest Technologies đã kiện LayerZero Labs, công ty liên kết tại Canada và CEO Bryan Pellegrino tại British Columbia liên quan đến vụ khai thác rsETH trị giá 292 triệu USD hồi tháng 4. Đơn kiện cáo buộc trình bày sai lệch do bất cẩn, sơ suất và phỉ báng. Đơn kiện yêu cầu bồi thường thiệt hại tăng nặng và thiệt hại trừng phạt. Người dùng Kelp đã rút hơn 650 triệu USD kể từ vụ tấn công. Pellegrino gọi vụ kiện là không có cơ sở. Các dự án gắn với khoảng 14,5 tỷ USD tài sản đã thông báo chuyển từ LayerZero sang CCIP của Chainlink đến ngày 4/8. BitGo chiếm khoảng 7,4 tỷ USD trong tổng số này thông qua WBTC. BitGo chỉ định CCIP là nhà cung cấp xuyên chuỗi độc quyền cho WBTC. Ngày 18/4, những kẻ tấn công đã lừa bộ xác thực của LayerZero phê duyệt một giao dịch chuyển xuyên chuỗi giả mạo. Báo cáo sự cố của LayerZero truy nguyên vụ xâm nhập đến một nhà phát triển đã bị thao túng xã hội để sao chép một kho lưu trữ GitHub độc hại vào tháng 3. Những kẻ tấn công đã tiếp cận môi trường RPC của LayerZero. Chúng làm nhiễm độc hai nút nội bộ. Chúng khiến một nhà cung cấp RPC bên ngoài ngừng hoạt động. Sau đó, bộ xác thực đã ký một thông báo được xây dựng dựa trên dữ liệu chuỗi nguồn sai lệch. Vụ tấn công khiến 116.500 rsETH rời khỏi cầu nối của Kelp. Cầu nối của Kelp yêu cầu sự phê duyệt từ bộ xác thực duy nhất của LayerZero. Cơ chế kiểm tra chữ ký trên chuỗi của LayerZero đã hoạt động đúng như thiết kế vì chữ ký hợp lệ. Chữ ký đó xác nhận thông tin sai lệch. Báo cáo của LayerZero quy trách nhiệm về yêu cầu bộ xác thực cho ứng dụng. Báo cáo quy trách nhiệm về lớp RPC bị xâm nhập cho LayerZero với tư cách đơn vị vận hành. Evercrest cáo buộc LayerZero đã xem xét và phê duyệt bằng văn bản mô hình chỉ sử dụng một bộ xác thực. Evercrest cho biết LayerZero đã nói với Kelp vào tháng 2/2024 rằng cấu hình mặc định không có vấn đề gì. Đơn kiện cũng cáo buộc LayerZero đã cảnh báo USDT0 về các rủi ro trong cấu hình bộ xác thực mặc định. Đơn kiện cho rằng LayerZero không đưa ra cảnh báo tương tự cho Kelp. Các cáo buộc chưa được tòa án kiểm chứng. LayerZero cho biết trước đây Kelp đã sử dụng cấu hình 2/2. LayerZero nói Kelp đã chuyển sang cấu hình 1/1. Bộ xác thực của LayerZero hiện từ chối ký trên bất kỳ kênh nào mà tại đó nó là bên ký duy nhất được yêu cầu. Công ty yêu cầu nhiều nguồn RPC độc lập giữa các nhà cung cấp và khu vực địa lý. Đến ngày 4/8, LayerZero đã chuyển các tuyến mặc định trên cả hai phiên bản điểm cuối của mình sang tối thiểu ba bộ xác thực. Các ứng dụng vẫn có thể xây dựng cấu hình tùy chỉnh ở cấp giao thức. LayerZero cho biết vào tháng 5 rằng việc cho phép bộ xác thực hoạt động một mình trong các giao dịch giá trị cao là một sai lầm. LayerZero cho biết sự cố ảnh hưởng đến khoảng 0,14% số ứng dụng trên mạng lưới của mình. Mantle, rsETH của Kelp và Lombard đã bổ sung hàng tỷ USD vào tổng giá trị di chuyển. Chainlink đưa tổng số này lên gần 15 tỷ USD. Kelp cho biết quá trình di chuyển của riêng mình vẫn đang diễn ra, vì vậy giá trị được công bố và các giao dịch chuyển đã hoàn tất là hai thước đo riêng biệt. Ủy ban Token Ổn định của bang Wyoming đã chuyển token FRNT do bang phát hành khỏi LayerZero vào tháng 8. Ủy ban đã ký một thỏa thuận nhiều năm, theo đó CCIP trở thành nhà cung cấp xuyên chuỗi độc quyền. Giám đốc an ninh thông tin của Ủy ban, Keith Lawhorn, cho biết ngày 14/9 rằng cuộc rà soát bắt đầu do vụ tấn công Kelp. Ông cho biết cuộc rà soát phát hiện các vấn đề về kiểm soát truy cập, quản lý khóa riêng tư và công bố thông tin sự cố. LayerZero đã phần nào bác bỏ những phát hiện đó. LayerZero vẫn là một mạng lưới trải rộng trên 96 blockchain. DefiLlama báo cáo khối lượng qua cầu nối của LayerZero đạt 9,5 tỷ USD trong 30 ngày qua. Một tòa án tại British Columbia sẽ quyết định bên nào có nghĩa vụ thực hiện các biện pháp bảo vệ liên quan đến việc tích hợp.