Wyoming: LayerZero ha perdido el stablecoin estatal, Chainlink toma el relevo

La confianza, versión blockchain. El 14 de septiembre, el responsable de ciberseguridad de la Comisión de Stable Token de Wyoming publica un extenso alegato contra LayerZero. Acaba de reemplazar a este proveedor por Chainlink para hacer circular el stablecoin estatal FRNT entre ocho blockchains. Autorización de producción nunca transferida, clave privada mal controlada. Ambas fallas son suficientes para alimentar la acusación, a la que se suman divulgaciones consideradas insuficientes sobre incidentes pasados. Unas horas más tarde, el director de LayerZero responde, apoyándose en direcciones de transacción blockchain. El choque enfrenta dos versiones irreconciliables de una misma transferencia de clave. Se trata de un stablecoin respaldado por bonos del Tesoro estadounidense y ya desplegado en ocho redes.

Los puntos clave de este artículo:

• Wyoming ha reemplazado a LayerZero por Chainlink para asegurar su stablecoin estatal FRNT tras acusaciones de fallas de seguridad.
• LayerZero ha replicado presentando pruebas en blockchain para impugnar las acusaciones, pero ya ha perdido la confianza de varios clientes importantes.

FRNT y la clave olvidada, el alegato de Wyoming

Keith Lawhorn, responsable de ciberseguridad de la Comisión, detalla su investigación en un hilo publicado en X. Lo publica a las 14:57, hora de París. El punto de partida se remonta a abril. La explotación de 292 millones de dólares ha vaciado las arcas de KelpDAO tras una compromisión de la infraestructura RPC de LayerZero Labs. Este hackeo sería obra de hackers norcoreanos. La onda de choque ha llevado a Wyoming a auditar su propia dependencia de LayerZero para el FRNT. Este stablecoin es el primero emitido por un estado estadounidense, desplegado en ocho redes (Arbitrum, Avalanche, Base, Ethereum, Hedera, Optimism, Polygon y Solana). También está respaldado por bonos del Tesoro estadounidense en un 102% de sobrecolateralización.

La auditoría salió mal para LayerZero. Peor aún, al profundizar en este problema de acceso, el equipo de Wyoming afirma haber descubierto que una clave privada crítica seguía bajo el control de LayerZero. Sin embargo, LayerZero la utilizaba para administrar un despliegue FRNT muy real, cuando debería haber estado bajo la Comisión. A esto se suman divulgaciones consideradas demasiado escasas sobre incidentes pasados, tanto públicos como privados. La Comisión dice no haber tenido otra opción que cortar lazos para proteger a los poseedores del token.

LayerZero presenta pruebas on-chain

Siete horas después, a las 19:50, el cofundador y CEO de LayerZero responde en un hilo separado. Lo presenta como una aclaración ante publicaciones que considera exageradas. Su versión: LayerZero ha desplegado FRNT en Solana a petición de Wyoming, con todas las extensiones activadas. Solo una, la autoridad << Scaled UI Amount >>, no fue transferida en el acto. Según él, se trata de una omisión de ambas partes.

En cuanto al fondo técnico, la diferencia cuenta. Esta extensión, la Scaled UI Amount, solo sirve para mostrar un factor de escala de los montos en la interfaz. No permite ni acuñar, ni quemar, ni congelar tokens. De hecho, nunca ha cambiado de su valor por defecto durante todo el período en cuestión. Tan pronto como se notificó el olvido, la transferencia al monedero de Wyoming tomó menos de 24 horas. LayerZero ha publicado las direcciones on-chain como respaldo. Pellegrino califica la acusación de una clave << perdida >> de inexacta, e incluso bastante sorprendente. La transacción de transferencia sigue siendo consultable por cualquiera en la blockchain de Solana.

LayerZero pierde terreno frente a Kelp, Kraken y Wyoming

El Wyoming no es un caso aislado. Kraken y la plataforma de restaking Lombard abandonaron LayerZero en favor de Chainlink CCIP desde mayo, unas semanas después del exploit KelpDAO. Se trataba de asegurar el bitcoin encapsulado kBTC y los futuros activos envueltos del exchange. Entre los tres, estas salidas hicieron migrar más de cuatro mil millones de dólares de valor hacia la infraestructura de Chainlink.

El exploit KelpDAO sigue siendo la pieza central de este asunto. Según la investigación de CoinDesk, atacantes afiliados a Corea del Norte comprometieron la infraestructura RPC utilizada por LayerZero Labs. Esto permitió forjar un mensaje inter-cadenas liberando fondos en Ethereum. Este evento en realidad nunca tuvo lugar en Unichain. LayerZero ha reconocido desde entonces su parte de responsabilidad en el incidente. Sin embargo, para emisores regulados, un protocolo que ha permitido este tipo de manipulación genera inquietud. Esto pesa más que un simple error aislado.

Chainlink CCIP y el SOC 2 que llegó seis días tarde

En su hilo, Lawhorn también justifica la elección de Chainlink CCIP por una lista de criterios técnicos. Dieciséis operadores de nodos independientes deben validar cada mensaje antes de su firma. Los límites de tasa se ajustan por token, por vía y por dirección, para limitar el valor que puede moverse en una ventana dada. El estándar CCT garantiza finalmente a los emisores la propiedad de sus contratos sin depender del código de un solo proveedor. A esto se suma una certificación SOC 2 Tipo 2. Según Lawhorn, LayerZero no lo ofrecía en el momento de la revisión de seguridad. El problema es que esta lista repite casi palabra por palabra los argumentos que Chainlink presenta en su propia cuenta. Este detalle no resta precisión a sus afirmaciones, pero invita a verificarlas en lugar de copiarlas.

La auditoría de Wyoming también estaba desactualizada

Y la verificación reserva una sorpresa. LayerZero Labs anunció el 8 de septiembre que había obtenido la acreditación SOC 2 Tipo 1 y Tipo 2 para toda su infraestructura. Esto es seis días antes de la publicación del hilo de Lawhorn. La discrepancia de conformidad que la Comisión esgrimió como argumento decisivo ya se había cerrado cuando lo hizo público. La revisión de seguridad de Wyoming, por su parte, data de antes de finales de agosto. El argumento era válido en el momento de la auditoría, pero ya no lo era en el momento de la publicación.

Este desfase no cambia nada sobre las fallas reveladas por el exploit KelpDAO ni sobre la legitimidad de la elección operativa de Wyoming. Un estado de seguridad cripto se vuelve obsoleto rápidamente. Un regulador que se basa en los argumentos de marketing de un proveedor, aunque sea el nuevo, debería volver a verificar sus propias fichas antes de publicarlas. Esta es exactamente la misma exigencia que Wyoming ahora impone a LayerZero, aplicada esta vez a sí misma. Otro estado que se prepara para lanzar su propio stablecoin deberá lidiar con este tipo de carrera. Lo mismo ocurre con un banco que prepara un puente inter-cadenas para sus activos tokenizados. Las certificaciones de seguridad cripto nunca son permanentes: se deben volver a comprobar con cada anuncio.