Вайоминг: LayerZero потерял государственный стейблкоин, Chainlink берет на себя ответственность

Доверие, версия блокчейн. 14 сентября руководитель кибербезопасности Комиссии по стабильным токенам Вайоминга опубликовал длинный обвинительный акт против LayerZero. Он только что заменил этого поставщика на Chainlink для передачи государственного стейблкоина FRNT между восемью блокчейнами. Разрешение на производство никогда не было передано, неправильно контролируемый закрытый ключ. Эти два недостатка достаточно, чтобы подкрепить обвинение, к которому добавляются раскрытия, признанные недостаточными по поводу прошлых инцидентов. Через несколько часов глава LayerZero отвечает, ссылаясь на адреса транзакций блокчейна. Конфликт представляет собой две несовместимые версии одного и того же переноса ключа. Он касается стейблкоина, обеспеченного казначейскими облигациями США и уже развернутого на восьми сетях.

Ключевые моменты этой статьи:

• Вайоминг заменил LayerZero на Chainlink для обеспечения своего государственного стейблкоина FRNT после обвинений в недостатках безопасности.
• LayerZero ответил, представив доказательства на блокчейне, чтобы оспорить обвинения, но уже потерял доверие нескольких крупных клиентов.

FRNT и забытый ключ, обвинительный акт Вайоминга

Кит Лоухорн, руководитель кибербезопасности Комиссии, подробно описывает свое расследование в треде, опубликованном в X. Он публикует его в 14:57 по парижскому времени. Отправной точкой является апрель. Эксплойт на 292 миллиона долларов опустошил казну KelpDAO после компрометации инфраструктуры RPC LayerZero Labs. Этот взлом, как сообщается, был делом северокорейских хакеров. Волнения подтолкнули Вайоминг к аудиту своей зависимости от LayerZero для FRNT. Этот стейблкоин является первым, выпущенным американским штатом, развернутым на восьми сетях (Arbitrum, Avalanche, Base, Ethereum, Hedera, Optimism, Polygon и Solana). Он также обеспечен казначейскими облигациями США на 102% избыточного обеспечения.

Аудит обернулся неудачей для LayerZero. Более того, углубляясь в эту проблему доступа, команда Вайоминга утверждает, что обнаружила, что критически важный закрытый ключ оставался под контролем LayerZero. Тем не менее, LayerZero использовал его для управления реальным развертыванием FRNT, хотя он должен был находиться под контролем Комиссии. Добавьте к этому раскрытия, признанные слишком скромными по поводу прошлых инцидентов, как публичных, так и частных. Комиссия заявляет, что у нее не было другого выбора, кроме как разорвать связи, чтобы защитить держателей токена.

LayerZero представляет доказательства on-chain

Через семь часов, в 19:50, соучредитель и CEO LayerZero отвечает в отдельном треде. Он представляет это как упорядочивание в ответ на публикации, которые он считает преувеличенными. Его версия: LayerZero развернул FRNT на Solana по запросу Вайоминга, с активированными всеми расширениями. Единственное, авторитет << Scaled UI Amount >>, не было передано сразу. По его словам, это упущение с обеих сторон.

По техническому содержанию разница имеет значение. Это расширение, Scaled UI Amount, служит только для отображения коэффициента масштабирования сумм в интерфейсе. Оно не позволяет ни чеканить, ни сжигать, ни замораживать токены. На самом деле оно никогда не изменяло свою значение по умолчанию на протяжении всего рассматриваемого периода. Как только упущение было сообщено, передача на кошелек Вайоминга заняла менее 24 часов. LayerZero опубликовал адреса on-chain в поддержку. Пеллегрино называет обвинение в «потерянном» ключе неточным и даже довольно удивительным. Транзакция передачи остается доступной для просмотра любым желающим на блокчейне Solana.

LayerZero теряет позиции перед Kelp, Kraken и Вайомингом

Вайоминг не является исключением. Kraken и платформа повторного стекинга Lombard отказались от LayerZero в пользу Chainlink CCIP еще в мае, всего через несколько недель после инцидента с KelpDAO. Это было сделано для обеспечения безопасности заключенного биткойна kBTC и будущих обернутых активов биржи. В совокупности эти уходы перенесли более четырех миллиардов долларов стоимости на инфраструктуру Chainlink.

Инцидент с KelpDAO остается центральным элементом этого дела. Согласно расследованию CoinDesk, нападающие, связанные с Северной Кореей, скомпрометировали инфраструктуру RPC, используемую LayerZero Labs. Это позволило создать межсетевое сообщение, разблокирующее средства на Ethereum. На самом деле это событие никогда не происходило на Unichain. LayerZero с тех пор признала свою долю ответственности в инциденте. Тем не менее, для регулируемых эмитентов протокол, который допустил подобные манипуляции, вызывает беспокойство. Это весит больше, чем просто изолированная ошибка.

Chainlink CCIP и SOC 2, который пришел на шесть дней позже

В своем треде Лоухорн также оправдывает выбор Chainlink CCIP списком технических критериев. Шестнадцать независимых операторов узлов должны подтвердить каждое сообщение перед его подписью. Ограничения по пропускной способности регулируются по токенам, по каналам и по направлениям, чтобы ограничить стоимость, которая может перемещаться в заданный временной интервал. Стандарт CCT в конечном итоге гарантирует эмитентам право собственности на их контракты, не полагаясь на код единственного поставщика. К этому добавляется сертификат SOC 2 Type 2. По словам Лоухорна, LayerZero не предлагала его на момент проверки безопасности. Проблема в том, что этот список практически дословно повторяет аргументы, которые Chainlink приводит на своем собственном аккаунте. Этот нюанс не умаляет их точности, но призывает проверять их, а не просто копировать.

Аудит Вайоминга также устарел

И проверка приносит сюрприз. LayerZero Labs объявила 8 сентября о получении аккредитации SOC 2 Type 1 и Type 2 для всей своей инфраструктуры. Это произошло за шесть дней до публикации треда Лоухорна. Таким образом, разрыв в соответствии, который Комиссия выставила как решающий аргумент, уже был устранен, когда она его обнародовала. Проверка безопасности Вайоминга, в свою очередь, датируется до конца августа. Аргумент был актуален на момент аудита, но уже не был таковым на момент публикации.

Этот разрыв не меняет ничего в уязвимостях, выявленных инцидентом с KelpDAO, ни в легитимности операционного выбора Вайоминга. Оценка безопасности криптовалют быстро устаревает. Регулятор, который полагается на маркетинговые аргументы поставщика, даже если он новый, должен переоценить свои собственные данные перед их публикацией. Это точно такое же требование, которое Вайоминг теперь предъявляет LayerZero, примененное теперь к самой себе. Другой штат, собирающийся запустить свой собственный стейблкоин, должен будет учитывать такого рода гонку. То же самое касается банка, который готовит межсетевой мост для своих токенизированных активов. Сертификаты безопасности криптовалют никогда не даются раз и навсегда: их необходимо перепроверять с каждым объявлением.