LayerZero bị khai thác 2.4 triệu USD: Bài học về ảo tưởng phi tập trung trong cầu nối cross-chain
Vũ Vĩnh
Bảy ngày trước, một sự kiện đã làm rung chuyển cộng đồng cross-chain: ví executor của LayerZero bị khai thác, gây thiệt hại 2.4 triệu USD trên nhiều chuỗi. Con số này, so với các vụ hack tỷ đô trước đây, có vẻ nhỏ. Nhưng với tôi, đó không phải là con số đáng lo ngại nhất. Điều đáng lo là nó phơi bày một lỗ hổng cấu trúc mà tôi đã cảnh báo từ năm 2017, khi audit hợp đồng OmiseGo: sự phụ thuộc quá mức vào các thành phần off-chain trong các giao thức tự xưng là “phi tập trung”.
Hãy đặt LayerZero vào bối cảnh. Nó là một trong những giao thức interoperability phổ biến nhất, với hơn 30 chuỗi được tích hợp và dòng vốn VC khổng lồ từ Sequoia, a16z. Kiến trúc của nó dựa trên hai thành phần chính: Relayer (trung gian on-chain) và Executor (thực thi off-chain). Executor là chìa khóa: nó ký và gửi các giao dịch cross-chain. Nếu executor bị kiểm soát, kẻ tấn công có thể giả mạo bất kỳ thông điệp nào.
Sự kiện vừa qua xác nhận nỗi lo của tôi. Với 2.4 triệu USD, kẻ tấn công đã kiểm soát ít nhất một executor – có thể do lộ khóa riêng, khai thác lỗ hổng chữ ký, hoặc tấn công phishing. Dù nguyên nhân chính xác chưa được công bố, bản chất của rủi ro đã rõ: bảo mật của LayerZero phụ thuộc vào quản lý khóa của các executor, một điểm tập trung. Kinh nghiệm 27 năm trong lĩnh vực thanh toán xuyên biên giới và bảo mật blockchain cho tôi thấy: bất kỳ hệ thống nào dựa vào một thực thể off-chain duy nhất đều có thể bị phá vỡ. Năm 2020, khi phân tích các pool thanh khoản Uniswap, tôi đã cảnh báo về sự phụ thuộc vào nguồn thanh khoản tập trung; nay tôi thấy cùng một mô hình rủi ro lặp lại trong cầu nối cross-chain.
Phần lớn thị trường xem nhẹ vụ việc vì con số 2.4 triệu quá nhỏ so với Wormhole (320 triệu) hay Nomad (190 triệu). Đây là một góc nhìn sai lầm. Wormhole khai thác lỗ hổng chữ ký – một lỗi kỹ thuật có thể vá. Nomad khai thác lỗi cập nhật hợp đồng. Nhưng executor của LayerZero là một lỗ hổng vận hành: nó liên quan đến quy trình quản lý khóa và sự tin cậy vào các thực thể vận hành. Lỗ hổng vận hành khó sửa hơn lỗ hổng kỹ thuật, bởi nó đòi hỏi thay đổi cấu trúc quản trị, không chỉ một bản vá. Nếu LayerZero không chuyển sang mô hình đa executor hoặc xác thực đa chữ ký, một vụ tấn công tương tự có thể xảy ra với quy mô lớn hơn nhiều. Hãy tưởng tượng nếu ba trong số năm executor bị kiểm soát: thiệt hại có thể lên tới hàng trăm triệu.
Điều trớ trêu là LayerZero từng được ca ngợi là “cầu nối không có token bridge” – giảm thiểu rủi ro từ các tài sản tổng hợp. Nhưng sự kiện này chứng minh: ngay cả khi không có bridge token, rủi ro vẫn tồn tại ở lớp thông điệp. Đây là một điểm mù trong câu chuyện “tech-first” của các dự án cross-chain. Nhiều nhà đầu tư bán lẻ vẫn nghĩ rằng “audit” là đủ. Nhưng audit không thể phát hiện được lỗ hổng vận hành nếu không có quyền truy cập vào hệ thống quản lý khóa. Từ góc độ macro, sự kiện này làm suy yếu niềm tin vào toàn bộ lĩnh vực cross-chain, đồng thời mang lại lợi thế cạnh tranh cho các giải pháp dựa trên xác thực on-chain như IBC (Cosmos) hay CCIP (Chainlink) – nơi các xác thực viên được phân tán hơn.
Ba ngày sau vụ tấn công, TVL của các ứng dụng dựa trên LayerZero như Stargate đã giảm nhẹ, nhưng chưa có sự tháo chạy hàng loạt. Điều này cho thấy thị trường đang chờ đợi phản ứng chính thức. Nếu LayerZero nhanh chóng công bố báo cáo root cause và triển khai cơ chế đa chữ ký cho executor, cú sốc có thể được hấp thụ. Ngược lại, nếu im lặng hoặc đổ lỗi cho một executor độc lập, niềm tin sẽ tiếp tục xói mòn.
Câu hỏi cuối cùng dành cho bạn: bạn có thực sự tin rằng một giao thức cross-chain có thể được gọi là “phi tập trung” khi quyền thực thi giao dịch nằm trong tay một nhóm nhỏ các executor? Hay chúng ta đang tự lừa dối mình bằng những lớp trừu tượng?