ワイオミング州：LayerZeroが州のステーブルコインを失い、Chainlinkが引き継ぐ

信頼、ブロックチェーン版。 9月14日、ワイオミング州ステーブルトークン委員会のサイバーセキュリティ責任者がLayerZeroに対する長い告発を発表しました。彼はこのサービスプロバイダーをChainlinkに置き換え、州のステーブルコインFRNTを8つのブロックチェーン間で流通させることにしました。生産許可は移転されず、プライベートキーは適切に管理されていません。これら2つの欠陥は告発を裏付けるには十分であり、過去の事件に関する開示が不十分であるとされています。数時間後、LayerZeroの責任者がブロックチェーンの取引アドレスを示して反論しました。この対立は、同じキーの移転に関する相反する2つのバージョンを対立させています。これは、米国財務省の債券に裏付けられ、すでに8つのネットワークに展開されているステーブルコインに関するものです。

この記事の重要ポイント：

• ワイオミング州は、セキュリティの欠陥に関する告発を受けて、州のステーブルコインFRNTのセキュリティを確保するためにLayerZeroをChainlinkに置き換えました。
• LayerZeroは、告発に対抗するためにブロックチェーン上の証拠を提示しましたが、すでにいくつかの主要顧客の信頼を失っています。

FRNTと忘れられたキー、ワイオミング州の告発

サイバーセキュリティ責任者のKeith Lawhornは、Xに投稿したスレッドで調査の詳細を説明しています。彼はパリ時間の14時57分に投稿しました。出発点は4月に遡ります。2億9200万ドルのエクスプロイトがLayerZero LabsのRPCインフラの侵害によりKelpDAOの資金を空にしました。このハッキングは北朝鮮のハッカーによるものとされています。この衝撃波は、ワイオミング州がFRNTに対するLayerZeroへの依存を監査するきっかけとなりました。このステーブルコインは、米国の州によって発行された初のもので、8つのネットワーク（Arbitrum、Avalanche、Base、Ethereum、Hedera、Optimism、Polygon、Solana）に展開されています。また、102%の過剰担保で米国財務省の債券に裏付けられています。

監査はLayerZeroにとって悪化しました。さらに、アクセスの問題を掘り下げる中で、ワイオミング州のチームは重要なプライベートキーがLayerZeroの管理下に残っていることを発見したと主張しています。LayerZeroは実際にFRNTの展開を管理するためにそれを使用していましたが、それは委員会の管理下にあるべきものでした。加えて、過去の事件に関する開示が公的・私的に不十分であるとされています。委員会は、トークンの保有者を保護するために関係を断つ以外に選択肢がなかったと述べています。

LayerZeroがオンチェーンの証拠を提示

7時間後、19時50分にLayerZeroの共同創設者兼CEOが別のスレッドで反論しました。彼はそれを誇張された投稿に対する整理として提示しました。彼の主張は、LayerZeroがワイオミング州の要請に応じてSolana上にFRNTを展開し、すべての拡張機能が有効化されていたというものです。ただ一つ、<< Scaled UI Amount >>の権限がその後に移転されなかったと彼は述べています。これは、双方の見落としによるものだと彼は考えています。

技術的な内容に関しては、違いが重要です。この拡張機能、Scaled UI Amountは、インターフェース内の金額のスケールファクターを表示するためだけに使用されます。トークンを発行したり、焼却したり、凍結したりすることはできません。実際、関係する期間中、そのデフォルト値から一度も動いていません。忘れが報告されると、ワイオミング州のウォレットへの移転は24時間以内に行われました。LayerZeroはオンチェーンのアドレスを公開しました。Pellegrinoは「失われた」とされるキーに関する告発を不正確であり、かなり驚くべきものであると評価しています。移転の取引は、実際に誰でもSolanaのブロックチェーン上で確認可能です。

LayerZeroがKelp、Kraken、ワイオミング州に対して劣勢に

ワイオミング州は孤立したケースではありません。KrakenとrestakingプラットフォームのLombardは、KelpDAOのハッキングから数週間後の5月にLayerZeroを放棄し、Chainlink CCIPに移行しました。これは、カプセル化されたビットコインkBTCと取引所の将来のラップ資産を保護するためでした。この3社の離脱により、40億ドル以上の価値がChainlinkのインフラに移行しました。

KelpDAOのハッキングは、この問題の中心的な要素です。CoinDeskの調査によれば、北朝鮮に関連する攻撃者がLayerZero Labsによって利用されるRPCインフラを侵害しました。これにより、Ethereum上で資金を解放するクロスチェーンメッセージが生成されました。このイベントは実際にはUnichain上では発生しませんでした。LayerZeroはこの事件における責任を認めています。しかし、規制された発行者にとって、この種の操作を許可したプロトコルは懸念材料です。これは単なる孤立したバグ以上の重みを持ちます。

Chainlink CCIPと6日遅れのSOC 2

Lawhornは、Chainlink CCIPの選択を技術的な基準のリストで正当化しています。16の独立したノードオペレーターが、メッセージの署名前に各メッセージを検証する必要があります。スループットの制限は、トークン、経路、方向ごとに設定され、特定のウィンドウ内で移動できる価値に上限を設けます。CCT標準は、発行者が単一のプロバイダーのコードに依存せずに契約の所有権を保証します。さらに、SOC 2 Type 2の認証が付加されます。Lawhornによれば、LayerZeroはセキュリティレビューの時点でこれを提供していませんでした。問題は、このリストがChainlinkが自社のアカウントで強調している主張をほぼそのまま引用していることです。この詳細はその正確性を損なうものではありませんが、コピーするのではなく確認するよう促します。

ワイオミング州の監査も過去のものだった

そして、検証には驚きがあります。LayerZero Labsは9月8日に、インフラ全体に対してSOC 2 Type 1およびType 2の認証を取得したと発表しました。これはLawhornのスレッドの公開の6日前です。委員会が決定的な根拠として掲げたコンプライアンスのギャップは、すでに公表された時点で解消されていました。ワイオミング州のセキュリティレビューは8月末以前の日付です。監査の時点ではその主張は妥当でしたが、公開時点ではそうではありませんでした。

このズレは、KelpDAOのハッキングによって明らかにされた脆弱性や、ワイオミング州の運用上の選択の正当性には影響しません。暗号のセキュリティの現状はすぐに陳腐化します。プロバイダーのマーケティングの主張に依存する規制当局は、公開前に自らの資料を再確認することが望ましいです。これは、ワイオミング州が現在LayerZeroに課しているのと同じ要求であり、今回は自らに適用されています。自州で独自のステーブルコインを立ち上げようとしている別の州は、この種の競争に対処しなければなりません。トークン化された資産のためにクロスチェーンブリッジを準備している銀行も同様です。暗号のセキュリティ認証は決して当たり前のものではなく、各発表ごとに再確認が必要です。