LayerZero và KelpDAO đang công khai tranh cãi về nguyên nhân của vụ hack 292 triệu USD, sau khi hai bên đưa ra hai phiên bản trái ngược về cấu hình bridge đã bị khai thác.
Tranh cãi này không chỉ xoay quanh trách nhiệm kỹ thuật mà còn ảnh hưởng đến cách các giao thức DeFi phân định vai trò giữa hạ tầng và ứng dụng. Vụ việc cũng làm nổi bật rủi ro của cấu hình xác thực đơn lẻ trong các cầu nối cross-chain.
- LayerZero và KelpDAO đưa ra các cáo buộc ngược nhau về cấu hình 1/1 DVN trước vụ exploit.
- Vụ hack ngày 18/4 đã rút 116.500 rsETH, tương đương khoảng 18% lượng token lưu hành.
- Kelp đang chuyển rsETH sang Chainlink CCIP, trong khi LayerZero đã cấm cấu hình một verifier cho ứng dụng sản xuất.
LayerZero bác bỏ cáo buộc của KelpDAO
Giám đốc điều hành LayerZero Labs, Bryan Pellegrino, cho rằng cách KelpDAO mô tả sự việc là không đúng và khẳng định chính Kelp đã chuyển từ cấu hình mặc định an toàn hơn sang cấu hình 1/1 DVN.
Trong bài đăng ngày 5/5 trên X, Pellegrino nói Kelp ban đầu triển khai theo cấu hình multi-DVN mặc định của LayerZero, sau đó “tự chuyển sang cấu hình 1/1”. Ông cũng cho rằng LayerZero từng khuyến cáo không nên dùng cấu hình một verifier cho ứng dụng sản xuất.
Pellegrino còn nói gần như toàn bộ lưu lượng trên cấu hình 1/1 đều là rsETH, qua đó cho thấy Kelp là đơn vị sử dụng chính. Trước đó một ngày, ông cũng thừa nhận bản thân có mâu thuẫn nội tâm về vụ việc và cho biết đã sai khi cho rằng việc tự sửa cấu hình như vậy là không thể.
KelpDAO nói LayerZero đã đồng ý với thiết lập này
KelpDAO lại đưa ra một diễn giải khác, nói rằng các trao đổi với đội ngũ LayerZero cho thấy việc dùng cấu hình mặc định không bị phản đối.
Trong bài đăng ngày 5/5, Kelp cho biết họ có các ảnh chụp màn hình Telegram, trong đó một thành viên LayerZero từng viết “No problem on using defaults either” trong quá trình thảo luận về việc mở rộng sang L2. Kelp nói các trao đổi này kéo dài qua 8 cuộc thảo luận trong 2,5 năm mà không có phản đối từ phía LayerZero.
Kelp cũng cho biết đang chuyển rsETH sang Chainlink CCIP như một phản ứng trực tiếp với vụ exploit. Theo mô tả trong kho GitHub của dự án, contract “CCIP (Chainlink) RSETH” đã xuất hiện bên cạnh contract LayerZero RSETH_OFT cũ.
Vụ hack ngày 18/4 và mức độ thiệt hại
Vụ tấn công ngày 18/4 đã rút 116.500 rsETH từ bridge của Kelp vận hành trên LayerZero, tương đương khoảng 18% lượng token liquid restaked đang lưu hành.
Con số này cho thấy sự cố không chỉ là lỗi cấu hình đơn lẻ mà còn ảnh hưởng trực tiếp đến một phần đáng kể thanh khoản của token. Sau vụ việc, LayerZero đã cấm cấu hình 1/1 DVN và thúc đẩy việc chuyển đổi trong hệ sinh thái ứng dụng của mình.
Tại thời điểm xảy ra sự cố, 47% các hợp đồng OApp đang hoạt động của LayerZero dùng cấu hình 1/1 DVN. Dữ liệu này làm dấy lên câu hỏi về mức độ phổ biến của thiết lập mà sau đó bị coi là không phù hợp cho môi trường sản xuất.
Ý nghĩa đối với DeFi và các bridge cross-chain
Tranh cãi giữa LayerZero và KelpDAO đặt lại câu hỏi về việc ai chịu trách nhiệm khi một bridge cross-chain bị khai thác: nhà cung cấp hạ tầng hay dự án triển khai trên đó.
Với các giao thức DeFi, sự cố này cho thấy cấu hình bảo mật không chỉ là vấn đề kỹ thuật nội bộ mà còn liên quan trực tiếp đến trách nhiệm vận hành và kiểm soát rủi ro. Việc hai bên công khai phản bác nhau cũng cho thấy quan hệ giữa các đối tác từng cùng đứng trong nỗ lực ứng phó khủng hoảng đã bắt đầu rạn nứt.
Hiện chưa rõ tranh cãi này sẽ tác động thế nào đến quá trình xử lý hậu quả pháp lý và kỹ thuật của vụ exploit. Điều dễ thấy là các cầu nối cross-chain tiếp tục là một trong những điểm dễ tổn thương nhất của DeFi.
Tổng kết
LayerZero và KelpDAO đang đưa ra hai phiên bản khác nhau về cấu hình dẫn tới vụ hack 292 triệu USD, trong khi thiệt hại và hệ quả bảo mật của sự cố vẫn còn kéo dài.
