怀俄明州：LayerZero失去了州稳定币，Chainlink接手

信任，区块链版本。 9月14日，怀俄明州稳定币委员会的网络安全负责人发布了一份针对LayerZero的长篇指控。他刚刚将该服务提供商更换为Chainlink，以便在八个区块链之间流通州稳定币FRNT。生产授权从未转移，私钥管理不当。这两个漏洞足以支持指控，此外还有对过去事件的披露被认为不够充分。几小时后，LayerZero的负责人回应，提供了区块链交易地址作为支持。这场冲突对峙了同一密钥转移的两种不可调和的版本。它涉及一种与美国国债挂钩的稳定币，已经在八个网络上部署。

本文的关键点：

• 怀俄明州因安全漏洞指控而将LayerZero替换为Chainlink，以确保其州稳定币FRNT的安全。
• LayerZero通过提供区块链证据来反驳指控，但已经失去了多位主要客户的信任。

FRNT与被遗忘的密钥，怀俄明州的指控

网络安全负责人Keith Lawhorn在X上发布了一条线程，详细说明了他的调查。他在巴黎时间14:57发布。起点追溯到四月。2.92亿美元的漏洞使KelpDAO的资金被掏空，原因是LayerZero Labs的RPC基础设施被攻破。这次黑客攻击被认为是北朝鲜黑客所为。这一冲击波促使怀俄明州审计其对LayerZero的FRNT的依赖。该稳定币是美国州政府发行的首个稳定币，已在八个网络上部署（Arbitrum、Avalanche、Base、Ethereum、Hedera、Optimism、Polygon和Solana）。它还以102%的超额抵押率与美国国债挂钩。

审计对LayerZero来说进展不顺。更糟的是，在深入研究这一访问问题时，怀俄明州团队声称发现一把关键的私钥仍在LayerZero的控制之下。然而，LayerZero却用它来管理一个真实的FRNT部署，而这本应由委员会负责。此外，关于过去事件的披露被认为过于简陋，无论是公开的还是私密的。委员会表示别无选择，只能断绝与LayerZero的关系，以保护代币持有者。

LayerZero提供链上证据

七小时后，LayerZero的联合创始人兼首席执行官在另一条线程中回应。他将其视为对他认为夸大的发布的澄清。他的版本是：LayerZero应怀俄明州的要求在Solana上部署FRNT，并激活了所有扩展。只有一个，<< Scaled UI Amount >>权限，没有在随后的过程中转移。他认为这是双方的疏忽。

在技术背景上，这一差异至关重要。该扩展，Scaled UI Amount，仅用于在界面中显示金额的缩放因子。它既不允许铸造，也不允许销毁或冻结代币。在整个相关期间，它的值实际上从未改变过默认值。自从这一遗忘被报告后，转移到怀俄明州的钱包不到24小时。LayerZero发布了链上地址作为支持。Pellegrino称“丢失”密钥的指控不准确，甚至相当令人惊讶。转移交易实际上可以被任何人查看，位于Solana区块链上。

LayerZero在Kelp、Kraken和怀俄明州面前失去地位

怀俄明州并不是一个孤立的案例。Kraken 和重质押平台 Lombard 在 KelpDAO 漏洞发生几周后，于 5 月放弃了 LayerZero，转而支持 Chainlink CCIP。此举旨在保护封装比特币 kBTC 及交易所未来的封装资产。这三者的离开使得 超过四十亿美元 的价值迁移到了 Chainlink 的基础设施上。

KelpDAO 漏洞仍然是此案的核心。根据 CoinDesk 的调查，与朝鲜有关的攻击者 破坏了 LayerZero Labs 使用的 RPC 基础设施。这使得他们能够伪造一个跨链消息，从而在以太坊上释放资金。实际上，这一事件从未在 Unichain 上发生。LayerZero 也承认了在此事件中的责任。然而，对于受监管的发行者而言，一个允许这种操控的协议令人担忧。这比单纯的漏洞更为严重。

Chainlink CCIP 和晚了六天的 SOC 2

在他的推文中，Lawhorn 还通过一系列技术标准为选择 Chainlink CCIP 辩护。十六个独立节点运营商必须在签名之前验证每条消息。流量限制通过代币、通道和方向进行设置，以限制在特定窗口内可以移动的价值。CCT 标准最终确保发行者拥有其合约的所有权，而不依赖于单一供应商的代码。此外，还增加了 SOC 2 Type 2 认证。根据 Lawhorn 的说法，LayerZero 在安全审查时并未提供这一认证。问题在于，这份清单 几乎逐字重复了 Chainlink 在其自身账户上提出的论点。这一细节并未削弱其准确性，但却提示人们应当核实而非抄袭。

怀俄明州的审计也过期了

而且，核查还带来了惊喜。LayerZero Labs 于 9 月 8 日宣布已获得其整个基础设施的 SOC 2 Type 1 和 Type 2 认证。这是在 Lawhorn 的推文发布 六天之前。因此，委员会作为决定性论据所提出的合规差距在其公开时已经关闭。怀俄明州的安全审查则是在八月底之前进行的。这个论点在审计时是成立的，但在发布时却不再成立。

这一差距并未改变 KelpDAO 漏洞所揭示的缺陷，也未改变怀俄明州的操作选择的合法性。加密安全的现状很快就会过时。一个依赖于供应商营销论点的监管者，即使是新的，也应该在发布之前重新核实自己的资料。这正是怀俄明州现在对 LayerZero 所施加的要求，这次是适用于他们自己。另一个准备推出自己稳定币的州将不得不应对这种竞争。同样，准备为其代币化资产构建跨链桥的银行也面临同样的挑战。加密安全认证从来不是一劳永逸的：每次公告都需要重新审核。