LayerZero vướng thêm cáo buộc giao dịch memecoin mới

LayerZero đang đối mặt với cáo buộc liên quan đến bảo mật vận hành sau khi xuất hiện nghi vấn các khóa multisig sản xuất được dùng để giao dịch memecoin McPepes trên Uniswap.

Vụ việc làm dấy lên tranh luận về cách quản lý khóa trong hạ tầng blockchain, nhất là với các hệ thống đang bảo vệ tài sản và vận hành giao tiếp xuyên chuỗi. Hiện chưa rõ mức độ ảnh hưởng thực tế, nhưng câu chuyện đã kéo theo nhiều phản ứng trái chiều trong cộng đồng.

Cáo buộc xoay quanh multisig sản xuất của LayerZero

Trọng tâm của tranh cãi là cụm khóa multisig 2-of-5 Gnosis Safe được cho là dùng để bảo vệ tài sản người dùng và các phần quan trọng của hạ tầng OFT. Theo các ảnh chụp cuộc trao đổi nội bộ lan truyền trên X, ba trong số năm signer bị cho là có hoạt động ngoài phạm vi xử lý multisig.

Danh sách địa chỉ signer được nêu gồm ba ví có liên quan đến các hoạt động như giao dịch McPepes, staking trên Stargate và cung cấp thanh khoản trên nhiều DEX. Một giao dịch ngày 1/3/2023 cũng được nhắc đến, trong đó 0,198548073 ETH được đổi lấy khoảng 1,73 triệu token McPepes/PEPES qua Uniswap V3.

Điểm khiến vụ việc bị soi kỹ là các khóa sản xuất được cho là có liên kết với hoạt động ngoài mạng lưới, từ đó làm tăng rủi ro trước phishing hoặc các hình thức tấn công nhắm vào khóa riêng. Multisig này cũng bị cho là không có timelock và các khóa đã đứng yên trong nhiều năm.

Vì sao cách quản lý khóa này bị xem là rủi ro

Vấn đề cốt lõi không nằm ở một giao dịch đơn lẻ, mà ở nguyên tắc tách biệt khóa. Nếu khóa dùng cho sản xuất đồng thời xuất hiện trong các hoạt động giao dịch trên DEX, rủi ro vận hành sẽ cao hơn vì bề mặt tấn công rộng hơn.

Trong bối cảnh đó, chỉ hai khóa bị đánh cắp cũng được cho là đủ để làm cạn multisig. Các cáo buộc vì thế không chỉ nhắm vào một giao dịch memecoin, mà còn đặt câu hỏi về thiết kế bảo mật và cách LayerZero kiểm soát các signer của mình.

Những người bị nhắc tên cũng bị cho là có liên quan đến DVN settings và thư viện của các giao thức tương thích với LayerZero. Đây là lý do khiến tranh luận lan sang phạm vi rộng hơn, không chỉ giới hạn ở một ví multisig.

Phản hồi của Bryan Pellegrino và điểm còn bỏ ngỏ

CEO Bryan Pellegrino nói rằng các giao dịch xuất phát từ những thành viên cũ của multisig đã bị loại khỏi hệ thống. Ông cũng phủ nhận việc đây là “giao dịch memecoin”, cho rằng đó chỉ là kiểm thử OFT và các ví liên quan không còn giữ vai trò ký nữa.

Tuy vậy, phía hoài nghi vẫn đặt câu hỏi vì sao một giao dịch giữa ETH và McPepes lại có thể được xem là kiểm thử OFT. LayerZero cũng chưa công bố phản biện đầy đủ hoặc một cuộc kiểm toán toàn diện về các hành động trước đây của những signer bị nhắc đến.

Phản ứng từ cộng đồng và tác động tới niềm tin thị trường

Tranh cãi nhanh chóng lan trên X, nơi Zach Rynes gọi đây là “opsec khủng khiếp” và nhấn mạnh khóa sản xuất không nên dùng cho bất kỳ việc gì ngoài nhiệm vụ cốt lõi. Phản ứng từ cộng đồng nhìn chung tập trung vào câu hỏi về tính minh bạch của các hạ tầng xuyên chuỗi.

Vụ việc xuất hiện đúng lúc LayerZero đang bị soi kỹ hơn về an ninh cầu nối. Trước đó không lâu, Solv Protocol cho biết sẽ chuyển hơn 700 triệu USD token hóa BTC từ LayerZero sang Chainlink CCIP sau khi cập nhật đánh giá bảo mật và xem xét các sự cố cầu nối gần đây.

Hiện chưa thể kết luận mức độ ảnh hưởng dài hạn của cáo buộc này đối với LayerZero. Tuy nhiên, với một giao thức đóng vai trò trung gian cho giao tiếp chain-to-chain, mọi nghi vấn về quản lý khóa đều có thể tác động trực tiếp đến niềm tin của người dùng và các đối tác tích hợp.

Tổng kết

LayerZero đang bị đặt dưới áp lực giải trình về cách quản lý multisig sản xuất, trong khi phía công ty phủ nhận cáo buộc giao dịch memecoin. Cho đến khi có thêm bằng chứng hoặc báo cáo kiểm toán đầy đủ, câu chuyện này vẫn chủ yếu xoay quanh rủi ro bảo mật và niềm tin vào quy trình vận hành.