懷俄明州：LayerZero 失去了國家穩定幣，Chainlink 接手

信任，區塊鏈版本。 9 月 14 日，懷俄明州穩定幣委員會的網絡安全負責人發表了一份針對 LayerZero 的長篇指控。他剛剛將這家服務提供商更換為 Chainlink，以便在八個區塊鏈之間流通國家穩定幣 FRNT。生產授權從未轉移，私鑰控制不當。這兩個漏洞足以支持指控，此外還有對過去事件的披露被認為不足。幾個小時後，LayerZero 的負責人以區塊鏈交易地址作為支持作出回應。這場衝突對立了同一私鑰轉移的兩種不可調和的版本。它涉及一種以美國國債為擔保的穩定幣，已在八個網絡上部署。

本文的關鍵要點：

• 懷俄明州因安全漏洞指控而將 LayerZero 更換為 Chainlink，以保障其國家穩定幣 FRNT。
• LayerZero 以區塊鏈證據回應指控，但已經失去了多個主要客戶的信任。

FRNT 和被遺忘的私鑰，懷俄明州的指控

網絡安全負責人 Keith Lawhorn 在 X 平台上發表了一個線程，詳細說明了他的調查。他於巴黎時間 14:57 發佈。這一切的起點可以追溯到四月。2.92 億美元的漏洞使 KelpDAO 的資金被掏空，原因是 LayerZero Labs 的 RPC 基礎設施遭到入侵。這次駭客攻擊據說是北韓黑客所為。震撼波推動懷俄明州對其對 LayerZero 的依賴進行審計，以確保 FRNT。這種穩定幣是美國州政府發行的第一種，已在八個網絡（Arbitrum、Avalanche、Base、Ethereum、Hedera、Optimism、Polygon 和 Solana）上部署。它還以 102% 的超額擔保支持美國國債。

審計對 LayerZero 來說進展不順。更糟的是，在深入研究這一訪問問題時，懷俄明州的團隊聲稱發現一個關鍵的私鑰仍然在 LayerZero 的控制之下。然而，LayerZero 卻用它來管理一個真實的 FRNT 部署，而這本應由委員會控制。此外，對於過去的事件，無論是公共的還是私人的披露都被認為過於稀少。委員會表示，別無選擇，只能切斷聯繫以保護代幣持有者。

LayerZero 提出鏈上證據

七小時後，19:50，LayerZero 的聯合創始人兼 CEO 在另一個線程中作出回應。他將其視為對他認為誇大的報導的澄清。他的版本是：LayerZero 應懷俄明州的要求在 Solana 上部署了 FRNT，並啟用了所有擴展。只有一個，權限 << Scaled UI Amount >>，沒有隨之轉移。根據他的說法，這是雙方的遺漏。

在技術上，這一差異是重要的。這個擴展，Scaled UI Amount，僅用於在界面中顯示金額的縮放因子。它既不允許鑄造，也不允許銷毀或凍結代幣。事實上，在整個相關期間，它的值從未改變過。當遺漏被報告後，轉移到懷俄明州的錢包花費了不到 24 小時。LayerZero 發布了鏈上地址作為支持。Pellegrino 將“丟失”的私鑰指控稱為不準確，甚至相當驚人。轉移交易確實可以被任何人查詢，並且在 Solana 區塊鏈上可見。

LayerZero 在 Kelp、Kraken 和懷俄明州面前失去地位

懷俄明州不是孤立的案例。Kraken 和重質押平台 Lombard 在 KelpDAO 漏洞發生幾週後於五月放棄了 LayerZero，轉而支持 Chainlink CCIP。這是為了保護封裝比特幣 kBTC 和未來交易所的封裝資產。這三者的離開使得 超過四十億美元 的價值轉移到了 Chainlink 的基礎設施上。

KelpDAO 漏洞仍然是這個案件的核心。根據 CoinDesk 的調查，與北韓有關的攻擊者 侵入了 LayerZero Labs 使用的 RPC 基礎設施。這使得他們能夠鑄造一條跨鏈消息，釋放以太坊上的資金。實際上，這一事件從未在 Unichain 上發生。LayerZero 目前已承認在此次事件中的責任。不過，對於受監管的發行者來說，一個允許這種操控的協議令人擔憂。這比單純的孤立漏洞更具影響。

Chainlink CCIP 和延遲六天的 SOC 2

在他的推文中，Lawhorn 也通過一系列技術標準來解釋選擇 Chainlink CCIP 的原因。十六個獨立的節點運營商必須在簽名之前驗證每條消息。流量限制按代幣、通道和方向進行調整，以限制在特定窗口內可以移動的價值。CCT 標準最終保證發行者擁有其合約，而不依賴於單一供應商的代碼。此外，還有 SOC 2 Type 2 認證。根據 Lawhorn 的說法，LayerZero 在安全審查時並未提供此認證。問題在於，這份清單 幾乎逐字重複了 Chainlink 在其自身賬戶上提出的論點。這一細節並不減少其準確性，但促使人們檢查而非抄襲。

懷俄明州的審計也過時了

而且，檢查帶來了驚喜。LayerZero Labs 在九月八日宣布已獲得其整個基礎設施的 SOC 2 Type 1 和 Type 2 認證。這是 在 Lawhorn 的推文發布前六天。因此，委員會所提出的合規差距在其公開時已經關閉。懷俄明州的安全審查則是在八月底之前進行的。這一論點在審計時是成立的，但在發布時已不再成立。

這一差距並未改變 KelpDAO 漏洞所揭示的缺陷，也未影響懷俄明州的操作選擇的合法性。加密安全的現狀迅速過時。依賴供應商的市場營銷論點的監管機構，即使是新的，也應在發布前重新檢查自己的資料。這正是懷俄明州現在對 LayerZero 所施加的要求，這次是針對自己。另一個準備推出自己穩定幣的州將不得不應對這類競賽。對於準備為其代幣化資產建立跨鏈橋的銀行也是如此。加密安全認證從來不是理所當然的：每次公告都需要重新檢查。