LayerZero Labs đã công khai nhận sai sau vụ tấn công liên quan đến hệ thống nội bộ khiến KelpDAO bị khai thác 300 triệu USD rsETH, dù giao thức LayerZero không bị ảnh hưởng trực tiếp.
Sau sự cố, hãng thừa nhận từng có những vấn đề trong vận hành và truyền thông, đồng thời đưa ra loạt thay đổi về cấu hình bảo mật để giảm rủi ro tương tự trong tương lai.
- LayerZero cho biết cuộc tấn công chỉ ảnh hưởng tới hệ thống nội bộ, không làm gián đoạn protocol.
- Vụ việc liên quan đến khai thác rsETH của KelpDAO và kéo theo chỉ trích về cách LayerZero phản hồi.
- LayerZero đã nâng tiêu chuẩn DVN, khuyến nghị nhà phát triển tăng các lớp kiểm soát và xem lại cấu hình tích hợp.
LayerZero nói gì về sự cố và lời xin lỗi
LayerZero Labs đã đăng thư xin lỗi vào ngày 8/5/2026, thừa nhận các sai sót trong cách vận hành và giao tiếp sau sự cố an ninh liên quan đến KelpDAO và Lazarus Group.
Theo mô tả của hãng, khoảng ngày 19/4/2026, kẻ tấn công nhắm vào các node RPC nội bộ mà DVN của LayerZero sử dụng, đồng thời thực hiện DDoS lên nhà cung cấp RPC bên ngoài. LayerZero khẳng định protocol không bị ảnh hưởng trong vụ này.
Hãng cũng nhắc lại một vấn đề bảo mật khác đã xảy ra cách đây khoảng ba năm rưỡi, liên quan đến việc một signer dùng ví phần cứng dành cho giao dịch multisig để thực hiện giao dịch cá nhân trên Uniswap với memecoin McPepes. Sau đó, signer này đã bị thay thế và các ví cũng được hoán đổi.
Phạm vi thiệt hại và tác động tới KelpDAO
Sự cố được cho là chỉ ảnh hưởng đến một ứng dụng, tương đương 0,14% tổng số app trên LayerZero và 0,36% tổng giá trị tài sản được bridge trên nền tảng. Dù vậy, hậu quả trực tiếp là vụ khai thác rsETH trị giá 300 triệu USD nhắm vào KelpDAO.
LayerZero cho biết cơ chế multisig của họ chỉ kiểm soát chức năng Endpoint, bao gồm việc thêm chain và cập nhật một số thiết lập mặc định. Hãng cũng nhấn mạnh lại rằng rủi ro lần này nằm ở hệ thống nội bộ, không phải ở lõi protocol.
LayerZero đã thay đổi cấu hình bảo mật như thế nào
Sau sự cố, LayerZero không còn hỗ trợ DVN theo cấu hình 1/1. Các thiết lập mặc định cho pathway đã được nâng lên 5/5 hoặc 3/3 khi có thể, và hãng đang phát triển DVN client bằng Rust.
LayerZero cũng khuyến nghị các nhà phát triển khóa toàn bộ cấu hình để tránh phụ thuộc vào mặc định do LayerZero Labs kiểm soát, tăng số lượng xác nhận block trên từng chain, và cấu hình DVN với ít nhất hai bên độc lập, tốt nhất là ba đến năm bên. Hãng cũng gợi ý các dự án cân nhắc vận hành DVN riêng của mình.
Theo cách LayerZero mô tả, các ứng dụng mặc định và DVN chỉ có một verifier sẽ phụ thuộc gần như hoàn toàn vào multisig của hãng, trong khi các dịch vụ relaying như Essence và LayerZero executors chủ yếu ảnh hưởng tới tính liên tục hoạt động.
Phản ứng của DeFi và những hệ quả có thể theo dõi
Phản ứng ban đầu với vụ việc là chỉ trích LayerZero vì được cho là cố đổ trách nhiệm sang đối tác. Một số dự án đã chuyển sang Chainlink, trong đó có KelpDAO và Solv Protocol, còn Beefy, Ethena, BitGo, Lombard và một số bên khác đang cân nhắc lại tích hợp.
Về mặt thị trường, mối lo hiện nằm ở khối lượng giao dịch bridge có thể giảm, doanh thu Stargate chịu áp lực và tác động tới chương trình buyback của token ZRO. Đây là những điểm mà nhà đầu tư và các dự án tích hợp LayerZero thường sẽ tiếp tục theo dõi.
LayerZero không còn có thể được cứu vãn nữa?
– Trích từ bài đăng phản ứng trên X sau vụ khai thác rsETH
LayerZero cũng cho biết đã cam kết 5.000 ETH cho kế hoạch cứu trợ DeFi United và thêm 5.000 ETH để duy trì thanh khoản của Aave. Dù vậy, vụ việc vẫn làm dấy lên tranh luận rộng hơn về an toàn của các giao thức cross-chain và cách quản trị rủi ro multisig.
Tổng kết
LayerZero đã chuyển từ thế phòng thủ sang thừa nhận sai sót và siết lại cấu hình bảo mật, nhưng tác động lên hệ sinh thái vẫn cần thêm thời gian để đo lường qua mức độ giữ hay rút tích hợp của các dự án DeFi.
