Sau vụ tấn công mạng KelpDAO: 4 tỷ đô la tài sản đã chảy ra khỏi LayerZero, trong đó Chainlink trở thành "bên hưởng lợi" chính.

Tiêu đề gốc: LayerZero gặp khủng hoảng liên chuỗi, mất 4 tỷ đô la tài sản; Chainlink trở thành "người hưởng lợi" chính?
Tác giả gốc: Nicky, Foresight News

Kể từ khi cầu nối chuỗi chéo KelpDAO bị tấn công gây thiệt hại 292 triệu đô la vào tháng 4 năm nay, bối cảnh an ninh của cơ sở hạ tầng chuỗi chéo đang trải qua một sự thay đổi mạnh mẽ. Theo thống kê, khoảng 4 tỷ đô la tài sản đã hoàn tất hoặc đang trong quá trình chuyển đổi từ LayerZero sang Giao thức tương tác chuỗi chéo (CCIP) của Chainlink.

Vụ tấn công xảy ra vào sáng sớm ngày 19 tháng 4. Kẻ tấn công đã kích hoạt một chức năng trong hợp đồng LayerZero Endpoint V2, khiến hợp đồng cầu nối KelpDAO giải phóng khoảng 116.500 rsETH, trị giá khoảng 292 triệu đô la. Cơ chế tạm ngừng khẩn cấp của giao thức sau đó đã ngăn chặn thêm thiệt hại khoảng 100 triệu đô la.

Sau vụ tấn công, LayerZero đã đưa ra một tuyên bố cho biết các đánh giá sơ bộ cho thấy những kẻ tấn công là các tác nhân nhà nước có trình độ cao, bị nghi ngờ là TraderTraitor, một công ty con của Tập đoàn Lazarus của Triều Tiên.

Cốt lõi của cuộc tấn công nằm ở việc làm ô nhiễm các node RPC mà mạng lưới xác thực phi tập trung LayerZero dựa vào, sau đó sử dụng tấn công DDoS để buộc chuyển đổi dự phòng sang các node bị xâm nhập, cho phép các tin nhắn giả mạo được truyền qua. Điểm mấu chốt gây tranh cãi là KelpDAO đang sử dụng cấu hình một trình xác thực duy nhất (1-of-1) vào thời điểm đó, khi bị khai thác, đã dẫn đến điểm yếu duy nhất.

LayerZero thừa nhận rằng việc cho phép mạng lưới xác thực chính thức của mình phục vụ các giao dịch giá trị cao với cấu hình 1/1 là một sai lầm nghiêm trọng và tuyên bố sẽ ngừng thiết lập các tin nhắn đã ký cho các trình xác thực đơn lẻ. KelpDAO chỉ ra rằng cấu hình này đã xuất hiện như một cài đặt mặc định trong mã triển khai của LayerZero. Bất kể ai chịu trách nhiệm, cuộc tấn công này đã phơi bày lỗ hổng của việc xác minh tin nhắn xuyên chuỗi trong một số cấu hình nhất định.

Sau đó, làn sóng di cư bắt đầu. Vào ngày 6 tháng 5, KelpDAO, nạn nhân của sự kiện, đã tiên phong tuyên bố sẽ từ bỏ LayerZero và chuyển hoàn toàn các tiện ích giao dịch xuyên chuỗi của rsETH sang Chainlink CCIP, trở thành giao thức lớn đầu tiên rời đi.

Hai ngày sau, giao thức đặt cược Bitcoin Solv Protocol đã chuyển đổi cơ sở hạ tầng chuỗi chéo SolvBTC và xSolvBTC của mình, với tổng giá trị hơn 700 triệu đô la, sang CCIP, bao gồm tất cả các chuỗi được hỗ trợ.

Cùng ngày, giao thức tái bảo hiểm phi tập trung Re cũng đã chuyển giải pháp chuỗi chéo cho token tiền gửi reUSD sang CCIP, chỉ định nó là giải pháp chuỗi chéo duy nhất. Giao thức cho vay không lưu ký Tydro cũng nằm trong số những giao thức đầu tiên thực hiện chuyển đổi.

Vào ngày 14 tháng 5, Kraken thông báo thay thế LayerZero bằng Chainlink CCIP làm dịch vụ chuỗi chéo độc quyền để đóng gói tài sản tiền điện tử, bao gồm Bitcoin (kBTC), hỗ trợ nhiều blockchain như Ink, Ethereum và Optimism. Vào ngày 16 tháng 5, Lombard thông báo từ bỏ LayerZero, chuyển hơn 1 tỷ đô la tài sản được hỗ trợ bằng Bitcoin sang CCIP, áp dụng tiêu chuẩn đốt và đúc token chuỗi chéo.

Theo dữ liệu của DefiLlama, nếu chỉ tính tổng giá trị bị khóa hiện tại trong các giao thức DeFi chính, tổng giá trị của năm giao thức này đã vượt quá 3,4 tỷ đô la. Khi cộng thêm tài sản được đóng gói của các tổ chức, quy mô chuyển đổi tổng thể nằm trong khoảng 4 tỷ đô la.

Vào tháng 12 năm 2025, Coinbase đã chọn CCIP làm nhà cung cấp khả năng tương tác độc quyền cho tất cả các tài sản được đóng gói của mình, bao gồm các tài sản như cbBTC, cbETH, cbDOGE, cbLTC, cbADA và cbXRP, với tổng vốn hóa thị trường khoảng 7 tỷ đô la vào thời điểm đó. Vào tháng 1 năm 2024, Circle cũng đã tích hợp với CCIP để hỗ trợ chuyển khoản đa chuỗi của USDC.

Phản ứng của thị trường đối với sự thay đổi về niềm tin này được phản ánh trực tiếp vào biến động giá của token.

Theo dữ liệu của CoinMarketCap, LINK đã tăng 2,73% trong 30 ngày qua, đóng cửa ở mức 9,6 đô la, với vốn hóa thị trường là 6,98 tỷ đô la, duy trì vị trí thứ 16 trên thị trường tiền điện tử. Ngược lại, ZRO đã giảm 22,63% trong cùng kỳ, đóng cửa ở mức 1,34 đô la, với vốn hóa thị trường là 434 triệu đô la, tụt xuống vị trí thứ 92. LayerZero cũng phải đối mặt với áp lực bổ sung từ việc mở khóa hơn 25,71 triệu token ZRO vào ngày 20 tháng 5, trị giá khoảng 34,45 triệu đô la, chiếm 5,07% tổng nguồn cung đang lưu hành.

Theo dữ liệu từ Dune, mạng lưới LayerZero đã ghi nhận dòng tiền chảy ra ròng khoảng 2,01 tỷ đô la trong 30 ngày qua.

Đằng sau sự gia tăng số lượng giao thức là sự khác biệt đáng kể về kiến trúc bảo mật giữa Chainlink CCIP và LayerZero. Trước đó, vào tháng 4 năm 2024, Chainlink đã thông báo rằng CCIP đã bước vào giai đoạn hoạt động đầy đủ, hỗ trợ các blockchain như Arbitrum, Base, BNB Chain và Ethereum.

Chainlink CCIP tích hợp sâu một mạng lưới oracle phi tập trung, bao gồm một lớp đồng thuận ngoài chuỗi được cấu thành từ nhiều nhà điều hành nút độc lập. Lớp này quan sát, xác minh và báo cáo các sự kiện xuyên chuỗi, được bổ sung bởi một mạng lưới quản lý rủi ro độc lập để giám sát và bảo vệ thêm. Cơ chế chuyển token của nó kết hợp các tính năng như giới hạn tốc độ và nâng cấp khóa thời gian, tạo thành một mô hình bảo mật đa lớp.

Theo dữ liệu từ Dune, tổng số tiền chuyển khoản token xuyên chuỗi của Chainlink CCIP đã vượt quá 2 tỷ đô la. Trong đó, các stablecoin phi tập trung GHO và USDC chiếm thị phần lớn nhất, lần lượt đạt 22,4% và 20,2%, tương ứng với khoảng 531 triệu đô la và 481 triệu đô la.

Ngược lại, LayerZero sử dụng kiến trúc năm lớp có tính mô-đun cao, tách biệt hoàn toàn giao diện, xác thực và thực thi, cho phép các nhà phát triển tùy chỉnh mạng xác thực phi tập trung và cấu hình ngưỡng xác thực. Thiết kế này mang lại tính linh hoạt cao hơn nhưng cũng yêu cầu các nhà phát triển ứng dụng phải chủ động lựa chọn và duy trì cấu hình bảo mật.

Sự cố KelpDAO đã làm nổi bật những điểm yếu chí mạng của cấu hình xác thực đơn lẻ. Vào thời điểm đó, các giao thức cũng chọn cấu hình 1/1 chiếm tới 47%, điều này đã thúc đẩy nhiều dự án nhanh chóng chuyển sang CCIP, vốn có xác thực phi tập trung là tùy chọn mặc định và các biện pháp kiểm soát bảo mật hoàn chỉnh hơn.

Vào ngày 9 tháng 5, LayerZero đã đưa ra lời xin lỗi, thừa nhận rằng họ đã xử lý sai sót trong việc truyền đạt thông tin trong ba tuần qua và cho biết lẽ ra họ nên giải thích tình hình trực tiếp sớm hơn thay vì ưu tiên hoàn thành báo cáo phân tích sau sự cố.

LayerZero nhấn mạnh rằng bản thân giao thức không bị ảnh hưởng; nguồn gốc của dữ liệu bị nhiễm độc là RPC nội bộ được LayerZero Labs DVN sử dụng, trong khi nhà cung cấp RPC bên ngoài đã bị tấn công DDoS. Việc cho phép Labs DVN thực hiện các giao dịch giá trị cao như một dịch vụ cấu hình 1/1 là một sai lầm nghiêm trọng. Một báo cáo phân tích sau sự cố chính thức sẽ được công bố sớm cùng với các đối tác bảo mật bên ngoài.